Trojan.Siggen9.11903

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\q-4-9-75-1120814033-1057180167-1029255570-5115\{sidhuha-mlvy-e8vc-2aok-6pmws3gaiz6}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\x86_microsoft-windows-mlang.resources\enu_687fe97358e729b52535
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.module.exe.6
%TEMP%\aut5c35.tmp
%APPDATA%\x86_microsoft-windows-mlang.resources\1\information.txt
%APPDATA%\x86_microsoft-windows-mlang.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\x86_microsoft-windows-mlang.resources\1\telegram\инструкция по установке.txt
%APPDATA%\x86_microsoft-windows-mlang.resources\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\x86_microsoft-windows-mlang.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\x86_microsoft-windows-mlang.resources\1\steam\инструкция по установке.txt
%APPDATA%\x86_microsoft-windows-mlang.resources\1\steam\config\config.vdf
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\thlps_keeper_mayer_1965.docx
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\sdszfo.docx
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\issi2013_template_for_posters.docx
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\hanni_umami_chapter.doc
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\508softwareandos.doc
%APPDATA%\x86_microsoft-windows-mlang.resources\1\screen.jpg
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.sqlite3.module.dll
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.sqlite3.module.dll.6
%TEMP%\aut642.tmp
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\pkb9hppw\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\u4o71x93\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\96t66azi\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qqtmo2uh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.module.exe
%APPDATA%\x86_microsoft-windows-mlang.resources\[] .7z

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qqtmo2uh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\96t66azi\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\u4o71x93\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\pkb9hppw\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\aut642.tmp
%APPDATA%\x86_microsoft-windows-mlang.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\x86_microsoft-windows-mlang.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\x86_microsoft-windows-mlang.resources\1\steam\config\config.vdf
%APPDATA%\x86_microsoft-windows-mlang.resources\1\steam\инструкция по установке.txt
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\thlps_keeper_mayer_1965.docx
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\sdszfo.docx
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\issi2013_template_for_posters.docx
%APPDATA%\x86_microsoft-windows-mlang.resources\1\telegram\инструкция по установке.txt
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\hanni_umami_chapter.doc
%APPDATA%\x86_microsoft-windows-mlang.resources\1\screen.jpg
%APPDATA%\x86_microsoft-windows-mlang.resources\1\information.txt
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.module.exe
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.module.exe.6
%TEMP%\aut5c35.tmp
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.sqlite3.module.dll
%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.sqlite3.module.dll.6
%APPDATA%\x86_microsoft-windows-mlang.resources\1\desktop txt files\508softwareandos.doc
%APPDATA%\x86_microsoft-windows-mlang.resources\1\telegram\d877f783d5d3ef8c\map0

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.exe

Сетевая активность

TCP

'ap#.##legram.org':443
'ip##i.co':443
'10#.#4.211.86':29842

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co

Другое

Создает и запускает на исполнение

'%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.module.exe' a -y -mx9 -ssw "%APPDATA%\x86_microsoft-windows-mlang.resources\[] .7z" "%APPDATA%\x86_microsoft-windows-mlang.resources\1\*"
'%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.module.exe' a -y -mx9 -ssw "%APPDATA%\x86_microsoft-windows-mlang.resources\[] .7z" "%APPDATA%\x86_microsoft-windows-mlang.resources\1\*"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\x86_microsoft-windows-mlang.resources"' (со скрытым окном)
'%APPDATA%\x86_microsoft-windows-mlang.resources\nlsdata0047.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\x86_microsoft-windows-mlang.resources"
'<SYSTEM32>\taskeng.exe' {DB3924D3-47BD-4C3E-92A9-F5C4B8B5B372} S-1-5-21-1960123792-2022915161-3775307078-1001:ukibgnhes\user:Interactive:[1]