Trojan.Siggen9.10753

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\newu\city.exe
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\edrfde.txt
%PROGRAMDATA%\zfcmapjwu11vq\cemklw7hmc3fhv.zip
%PROGRAMDATA%\zfcmapjwu11vq\files\_screen.jpg
%PROGRAMDATA%\zfcmapjwu11vq\47283761.txt
%PROGRAMDATA%\zfcmapjwu11vq\files\_info.txt
%PROGRAMDATA%\ipras.vbs
%PROGRAMDATA%\zfcmapjwu11vq\files\browsers\_fileforms.txt
%PROGRAMDATA%\zfcmapjwu11vq\moz_forms.db
%PROGRAMDATA%\zfcmapjwu11vq\files\browsers\cookies\mozilla_firefox_cookies_iqymhhn.txt
%PROGRAMDATA%\zfcmapjwu11vq\files\browsers\_filecookies.txt
%PROGRAMDATA%\zfcmapjwu11vq\moz_cookies.db-shm
%PROGRAMDATA%\zfcmapjwu11vq\moz_cookies.db
%APPDATA%\opera software\opera stable\cookiescopy
%LOCALAPPDATA%\google\chrome\user data\default\cookiescopy
%APPDATA%\opera software\opera stable\webdatacopy
%LOCALAPPDATA%\google\chrome\user data\default\webdatacopy
%APPDATA%\opera software\opera stable\logindatacopy
%LOCALAPPDATA%\google\chrome\user data\default\logindatacopy
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\ddcdx.txt

Удаляет следующие файлы

Подменяет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

Запросы HTTP POST

'ip###ger.org':443

'bi###cket.org':443

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%PROGRAMDATA%\newu\city.exe'
'%WINDIR%\syswow64\wscript.exe' "%PROGRAMDATA%\ipras.vbs"
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\ZfcmaPJwu11Vq & timeout 2 & del /f /q "%PROGRAMDATA%\Newu\City.exe"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\ZfcmaPJwu11Vq & timeout 2 & del /f /q "%PROGRAMDATA%\Newu\City.exe"
'%WINDIR%\syswow64\timeout.exe' 2