Trojan.Siggen9.9749

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nska8f5.tmp\uac.dll
%APPDATA%\opera software\opera stable\webdatacopy
%LOCALAPPDATA%\google\chrome\user data\default\cookiescopy
%APPDATA%\opera software\opera stable\cookiescopy
%PROGRAMDATA%\ons1h5zq\moz_cookies.db
%PROGRAMDATA%\ons1h5zq\moz_cookies.db-shm
%PROGRAMDATA%\ons1h5zq\files\browsers\_filecookies.txt
%PROGRAMDATA%\ons1h5zq\moz_forms.db
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%PROGRAMDATA%\ons1h5zq\files\browsers\_fileforms.txt
%PROGRAMDATA%\ons1h5zq\files\_info.txt
%PROGRAMDATA%\ons1h5zq\47283761.txt
%PROGRAMDATA%\ons1h5zq\files\_screen.jpg
%PROGRAMDATA%\ons1h5zq\hpsrqvoxk.zip
%TEMP%\nska8f5.tmp\nsexec.dll
%LOCALAPPDATA%\google\chrome\user data\default\webdatacopy
%PROGRAMDATA%\ons1h5zq\files\browsers\cookies\mozilla_firefox_cookies_ihlbj6k.txt
%APPDATA%\opera software\opera stable\logindatacopy
%ProgramFiles(x86)%\lawer\xor\setup\bin\vpn850936802.ovpn
%ProgramFiles(x86)%\lawer\xor\countries.tsv
%ProgramFiles(x86)%\lawer\xor\vpnpro.ptb.lng
%ProgramFiles(x86)%\lawer\xor\vpnpro.rus.lng
%ProgramFiles(x86)%\lawer\xor\setup\bin\ssleay32.dll
%ProgramFiles(x86)%\lawer\xor\setup\bin\superb.ovpn
%ProgramFiles(x86)%\lawer\xor\setup\bin\test.ovpn
%ProgramFiles(x86)%\lawer\xor\setup\bin\pass.txt
%ProgramFiles(x86)%\lawer\xor\tap-windows\driver\tap0901.sys
%ProgramFiles(x86)%\lawer\xor\setup\bin\ipras.vbs
%ProgramFiles(x86)%\lawer\xor\setup\bin\setup.exe
%ProgramFiles(x86)%\lawer\xor\setup\bin\setupres.exe
%ProgramFiles(x86)%\lawer\xor\tap-windows\driver\oemvista.inf
%ProgramFiles(x86)%\lawer\xor\tap-windows\driver\oemwin2k.inf
%ProgramFiles(x86)%\lawer\xor\tap-windows\driver\tap0901.cat
%LOCALAPPDATA%\google\chrome\user data\default\logindatacopy
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357

Удаляет следующие файлы

%LOCALAPPDATA%\google\chrome\user data\default\logindatacopy
%APPDATA%\opera software\opera stable\logindatacopy
%LOCALAPPDATA%\google\chrome\user data\default\webdatacopy
%APPDATA%\opera software\opera stable\webdatacopy
%LOCALAPPDATA%\google\chrome\user data\default\cookiescopy
%APPDATA%\opera software\opera stable\cookiescopy
%PROGRAMDATA%\ons1h5zq\moz_cookies.db-shm
%PROGRAMDATA%\ons1h5zq\47283761.txt
%PROGRAMDATA%\ons1h5zq\files\_info.txt
%PROGRAMDATA%\ons1h5zq\files\_screen.jpg
%PROGRAMDATA%\ons1h5zq\moz_cookies.db
%PROGRAMDATA%\ons1h5zq\moz_forms.db
%ProgramFiles(x86)%\lawer\xor\setup\bin\setup.exe

Подменяет следующие файлы

%PROGRAMDATA%\ons1h5zq\moz_cookies.db-shm

Сетевая активность

TCP

Запросы HTTP GET

http://ip##pi.com/line
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

Запросы HTTP POST

http://ko##04.info/index.php

'ip###ger.org':443

UDP

DNS ASK ip##pi.com
DNS ASK ko##04.info
DNS ASK ip###ger.org

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''
ClassName: 'AutoHotkey' WindowName: '%ProgramFiles(x86)%\Lawer\Xor\Setup\bin\Setupres.exe'

Создает и запускает на исполнение

'%ProgramFiles(x86)%\lawer\xor\setup\bin\setup.exe'
'%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\Lawer\Xor\Setup\bin\ipras.vbs" //e:vbscript //B //NOLOGO
'%ProgramFiles(x86)%\lawer\xor\setup\bin\setupres.exe'
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\ONS1h5zQ & timeout 2 & del /f /q "%ProgramFiles(x86)%\Lawer\Xor\Setup\bin\Setup.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\Lawer\Xor\Setup\bin\ipras.vbs" //e:vbscript //B //NOLOGO' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\ONS1h5zQ & timeout 2 & del /f /q "%ProgramFiles(x86)%\Lawer\Xor\Setup\bin\Setup.exe"
'%WINDIR%\syswow64\timeout.exe' 2