Trojan.Siggen9.44889

Техническая информация

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

chrome.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\d
%ProgramFiles(x86)%\ilg_browserinc31\is-9jrrq.tmp
%ProgramFiles(x86)%\ilg_browserinc31\is-jl0de.tmp
%ProgramFiles(x86)%\ilg_browserinc31\is-rn7hd.tmp
%ProgramFiles(x86)%\ilg_browserinc31\is-h061l.tmp
%TEMP%\is-9nvnb.tmp\_isetup\_iscrypt.dll
%TEMP%\is-9nvnb.tmp\_isetup\_setup64.tmp
%TEMP%\is-73qmc.tmp\inlogbrowser_1035.tmp
%PROGRAMDATA%\microsoft\windows\start menu\programs\ilg_browserinc31.lnk
%TEMP%\7zs67a5.tmp\eyerelaxersolid.exe
%TEMP%\7zs67a5.tmp\downloader.exe
%TEMP%\~atmp\_53ff.tmp
%TEMP%\7zs4b82.tmp\downloader.exe
%TEMP%\~atmp\_43c1.tmp
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
<Текущая директория>\d-shm
%TEMP%\7zs4b82.tmp\inlogbrowser_1035.exe
%ProgramFiles(x86)%\ilg_browserinc31\unins000.dat

Удаляет следующие файлы

<Текущая директория>\d
<Текущая директория>\d-shm

Перемещает следующие файлы

%TEMP%\~atmp\_43c1.tmp в %TEMP%\~atmp\_43c1.exe
%TEMP%\~atmp\_53ff.tmp в %TEMP%\~atmp\_53ff.exe
%ProgramFiles(x86)%\ilg_browserinc31\is-h061l.tmp в %ProgramFiles(x86)%\ilg_browserinc31\unins000.exe
%ProgramFiles(x86)%\ilg_browserinc31\is-rn7hd.tmp в %ProgramFiles(x86)%\ilg_browserinc31\electronutil.exe
%ProgramFiles(x86)%\ilg_browserinc31\is-jl0de.tmp в %ProgramFiles(x86)%\ilg_browserinc31\browserutil_1035.exe
%ProgramFiles(x86)%\ilg_browserinc31\is-9jrrq.tmp в %ProgramFiles(x86)%\ilg_browserinc31\inlogupdater.exe

Подменяет следующие файлы

<Текущая директория>\d

Сетевая активность

TCP

Запросы HTTP GET

http://10#.#1.210.187/inb.txt
http://lo###.#nstallhyper.com/installer/download/46.exe
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://lo###.#nstallhyper.com/installer/download/01.exe
http://lo###.#nstallhyper.com/installer/download/84.exe
http://in###rowser.com/downloads/InlogBrowser_1035.exe

Запросы HTTP POST

http://10#.##.210.187:886/ via 10#.#1.210.187

'lo###.#nstallhyper.com':443

'st#####.googleapis.com':443

'in###lls.live':443

UDP

DNS ASK lo###.#nstallhyper.com
DNS ASK in###rowser.com
DNS ASK st#####.googleapis.com
DNS ASK in###lls.live
DNS ASK clients2.google.com
DNS ASK clients4.google.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'lyefrblauyvfakuyvf748444'
ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'

Создает и запускает на исполнение

'%TEMP%\~atmp\_43c1.exe' /4004*
'%TEMP%\7zs4b82.tmp\downloader.exe' %%S /4004*
'%TEMP%\~atmp\_53ff.exe' /4004*
'%TEMP%\7zs67a5.tmp\downloader.exe' %%S /4004*
'%TEMP%\7zs67a5.tmp\eyerelaxersolid.exe' /s
'%TEMP%\7zs4b82.tmp\inlogbrowser_1035.exe' /VERYSILENT /password=CAMPAIGNFFLOWNUM1035
'%TEMP%\is-73qmc.tmp\inlogbrowser_1035.tmp' /SL5="$A0230,1416613,721408,%TEMP%\7zS4B82.tmp\InlogBrowser_1035.exe" /VERYSILENT /password=CAMPAIGNFFLOWNUM1035
'%ProgramFiles(x86)%\ilg_browserinc31\browserutil_1035.exe'
'%ProgramFiles(x86)%\ilg_browserinc31\electronutil.exe'
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~atmp\\_43C1.exe /4004*' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~atmp\\_53FF.exe /4004*' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~atmp\\_43C1.exe /4004*
'%WINDIR%\syswow64\cmd.exe' systeminfo | findstr /c:"Model:" /c:"Host Name" /c:"OS Name"
'%WINDIR%\syswow64\systeminfo.exe'
'%WINDIR%\syswow64\findstr.exe' /c:"Model:" /c:"Host Name" /c:"OS Name"
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~atmp\\_53FF.exe /4004*
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --new-window --fast-start --incognito --show-maximized --app=data:text/html,%3Ctitle%3Elyefrblauyvfakuyvf748444%3C%2Ftitle%3E
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=gpu-process --channel="564.0.564881527\663362509" --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-device-id=0x0000 --gpu-driver-vendor --gpu-...
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --disable-databases --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/BrowserBlacklist/Enabled/*CTRequiredForEVTrial/Requireme...
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/*BrowserBlacklist/Enabled/*CTRequiredForEVTrial/RequirementEnforced/CaptiveP...
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=renderer --disable-databases --enable-deferred-image-decoding --lang=ru --force-fieldtrials="BackgroundRendererProcesses/Disallow/*BrowserBlacklist/Enabled/*CTRequiredForEVTrial/Requirem...