Trojan.Siggen9.18300

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\m-9-5-86-1042167873-1225566994-1189290217-8069\{h6zx51t1-cc8l-ewx9-ox2x-12vcv5usy54w}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\amd64_microsoft-windows-u..em-config.resources\enu_87fe9737c5c85a002535
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.module.exe.5
%TEMP%\aut533a.tmp
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\information.txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.sqlite3.module.dll
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.sqlite3.module.dll.5
%TEMP%\aut3fe.tmp
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ghs5jwo1\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\mw86rzr5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ef9v7a26\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\mbx5pkm5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.module.exe
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\[] .7z

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\mbx5pkm5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ef9v7a26\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\mw86rzr5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ghs5jwo1\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\aut3fe.tmp
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.sqlite3.module.dll.5
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.sqlite3.module.dll
%TEMP%\aut533a.tmp
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.module.exe.5
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.module.exe
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\information.txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\telegram\d877f783d5d3ef8c\map0

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.exe

Сетевая активность

TCP

Запросы HTTP GET

http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV

'ip##i.co':443

'ap#.##legram.org':443

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co
DNS ASK oc##.#tartssl.com

Другое

Создает и запускает на исполнение

'%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-u..em-config.resources\[] .7z" "%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\*"
'%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-u..em-config.resources\[] .7z" "%APPDATA%\amd64_microsoft-windows-u..em-config.resources\1\*"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-u..em-config.resources"' (со скрытым окном)
'%APPDATA%\amd64_microsoft-windows-u..em-config.resources\uireng.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-u..em-config.resources"
'<SYSTEM32>\taskeng.exe' {CAE7043F-B407-40F9-8304-212B13F63ED6} S-1-5-21-1960123792-2022915161-3775307078-1001:ppzuhlelgs\user:Interactive:[1]