Trojan.Siggen9.10452

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\r-6-7-96-1079749570-1146923452-1053924917-6710\{zg9n5h2c-5tx9-z3b-y2sx-t5drcpo6sqb}

Вредоносные функции

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\weeklysheet1215.doc
%HOMEPATH%\desktop\dialmap.bmp

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut98c7.tmp
%TEMP%\is-0pmjh.tmp\setup_01b_bg.bmp
%TEMP%\is-0pmjh.tmp\setup_03_bg.bmp
%TEMP%\is-0pmjh.tmp\setup_04_bg.bmp
%TEMP%\is-0pmjh.tmp\setup_01_finished_bg.bmp
%TEMP%\is-0pmjh.tmp\setup_wait.bmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%TEMP%\tempdatabase2020-02-10t13_25_30.9062578-08_001818
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0qsgyzph\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1n06qvdi\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ul0uwe07\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\i83nr1xn\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%TEMP%\is-0pmjh.tmp\setup_wo17_skin_default_checked.bmp
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%TEMP%\is-0pmjh.tmp\setup_wo17_skin_light_checked.bmp
%TEMP%\is-0pmjh.tmp\ash_inet2.dll
%APPDATA%\z23589057\ashampoo winoptimizer 17.00.24 final.exe
%TEMP%\auta079.tmp
%APPDATA%\z23589057\ashampoo winoptimizer-17.00.24 final.exe
%TEMP%\autad4b.tmp
%APPDATA%\z23589057\ashampoo_winoptimizer_17_17.00.24_sm.exe
%TEMP%\is-odp6m.tmp\ashampoo_winoptimizer_17_17.00.24_sm.tmp
%TEMP%\is-0pmjh.tmp\_isetup\_setup64.tmp
%TEMP%\is-0pmjh.tmp\webbrowser.dll
%TEMP%\is-0pmjh.tmp\setup_wo17_skin_light.bmp
%TEMP%\is-0pmjh.tmp\innocallback.dll
%TEMP%\is-0pmjh.tmp\setup_05.bmp
%TEMP%\is-0pmjh.tmp\setup_enterkey.bmp
%TEMP%\is-0pmjh.tmp\setup_ok.bmp
%TEMP%\is-0pmjh.tmp\setup_false.bmp
%TEMP%\is-0pmjh.tmp\setup_licensefalse.bmp
%TEMP%\is-0pmjh.tmp\setup_02a_bg.bmp
%TEMP%\is-0pmjh.tmp\setup_wo17_skin_default.bmp
%TEMP%\tempdatabase2020-02-10t13_25_31.0312578-08_001818

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\amd64_microsoft-windows-mfcore_31bf3856ad364e35_6.3.9600.17415_none_e1e3a11c2aef0b6e\api-ms-win-shcore-thread-l1-1-0.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0qsgyzph\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1n06qvdi\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ul0uwe07\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\i83nr1xn\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

%TEMP%\aut98c7.tmp
%TEMP%\auta079.tmp
%TEMP%\autad4b.tmp

Перемещает следующие файлы

%APPDATA%\z23589057\ashampoo winoptimizer-17.00.24 final.exe в %APPDATA%\amd64_microsoft-windows-mfcore_31bf3856ad364e35_6.3.9600.17415_none_e1e3a11c2aef0b6e\api-ms-win-shcore-thread-l1-1-0.exe

Сетевая активность

TCP

Запросы HTTP GET

http://45.##.228.211:2012/websocket via 45.##.228.211

'et.##hampoo.com':443

'ip###ger.org':443

UDP

DNS ASK li#####get.ashampoo.com
DNS ASK et.##hampoo.com
DNS ASK ip###ger.org

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\z23589057\ashampoo winoptimizer 17.00.24 final.exe'
'%APPDATA%\z23589057\ashampoo winoptimizer-17.00.24 final.exe'
'%APPDATA%\z23589057\ashampoo_winoptimizer_17_17.00.24_sm.exe'
'%TEMP%\is-odp6m.tmp\ashampoo_winoptimizer_17_17.00.24_sm.tmp' /SL5="$80214,18551816,413696,%APPDATA%\Z23589057\ashampoo_winoptimizer_17_17.00.24_sm.exe"

Запускает на исполнение