Trojan.Siggen9.50762

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\svchost
<SYSTEM32>\tasks\lsass
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\smss
<SYSTEM32>\tasks\downswapy

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\winperf\ariefknacn89i194a7ok.exe
<Текущая директория>\gxrire3dsq
<Текущая директория>\dbex8r0mjx
<Текущая директория>\3ux1wi6mkt
<Текущая директория>\tlz79zs5k5
<Текущая директория>\pktt5cjjpu
<Текущая директория>\ytl7ewa0mt
<Текущая директория>\ird8w2mgyi
<Текущая директория>\94cnhsad5t
<Текущая директория>\zx7pfaz2dm
<Текущая директория>\zbtbxyrv6d
<Текущая директория>\v642uutncw
<Текущая директория>\om4evmlrgi
<Текущая директория>\thlbzsbph1
<Текущая директория>\hdee2klfa8
<Текущая директория>\mxrzjgufzd
<Текущая директория>\z8h2s0nbr5
<Текущая директория>\vaav4wogxh
<Текущая директория>\q74oog4t25
<Текущая директория>\6vddbifmlc
<Текущая директория>\wjoenwww5m
<Текущая директория>\cnsswbdtnl
<Текущая директория>\63jv9zwh3v
<Текущая директория>\0bvvkqtabb
<Текущая директория>\uhypdscvr9
<Текущая директория>\n9ecajol9y
<Текущая директория>\dn7nmo6uuy
<Текущая директория>\w4qn8p5jwg
<Текущая директория>\rvfkwh6xpz
<Текущая директория>\9jrq6yladm
%APPDATA%\winperf\94miemopod8ppdeskdlxoen5rma3mg.bat
%APPDATA%\winperf\xsani4qgnmcyak5zjmejsheaqjkqxk.bat
%APPDATA%\winperf\downswapy.exe
%APPDATA%\winperf\vyndqtgweks9hx0ijzpkzt7fw7vfq8.vbe
C:\perflogs\admin\iexplore.exe
%TEMP%\4b64654a844494ae8a678a34941db990
%ProgramFiles(x86)%\msbuild\microsoft\dwm.exe
C:\perflogs\admin\svchost.exe
C:\msocache\all users\lsass.exe
%ProgramFiles(x86)%\microsoft visual studio 8\common7\packages\debugger\winlogon.exe
C:\totalcmd\language\smss.exe
<Текущая директория>\eli9gda2ex
<Текущая директория>\dvmb4mjbcr
<Текущая директория>\downswapy.exe
<Текущая директория>\uvrdi3mupm
<Текущая директория>\nvnefi6cpb
<Текущая директория>\xzgrx4e4bb
<Текущая директория>\c8hbu95hjm
<Текущая директория>\66eajznonj
<Текущая директория>\2eadfupzpn
<Текущая директория>\yrsnkpylkg
<Текущая директория>\nytdeavfi8
<Текущая директория>\raq2j87dg9
<Текущая директория>\tf26xoobz4
<Текущая директория>\abehgdu78e
%APPDATA%\winperf\o9bpkacmu53ddquvcy9ouwbi2v7orh.vbs
<Текущая директория>\krjsrzhqf2
<Текущая директория>\apcjwa2hhf

Удаляет следующие файлы

<Текущая директория>\om4evmlrgi
<Текущая директория>\94cnhsad5t
<Текущая директория>\zx7pfaz2dm
<Текущая директория>\zbtbxyrv6d
<Текущая директория>\v642uutncw
<Текущая директория>\thlbzsbph1
<Текущая директория>\dvmb4mjbcr
<Текущая директория>\hdee2klfa8
<Текущая директория>\ytl7ewa0mt
<Текущая директория>\ird8w2mgyi
<Текущая директория>\mxrzjgufzd
<Текущая директория>\q74oog4t25
<Текущая директория>\6vddbifmlc
<Текущая директория>\wjoenwww5m
<Текущая директория>\cnsswbdtnl
<Текущая директория>\63jv9zwh3v
<Текущая директория>\0bvvkqtabb
<Текущая директория>\uhypdscvr9
<Текущая директория>\z8h2s0nbr5
<Текущая директория>\vaav4wogxh
<Текущая директория>\pktt5cjjpu
<Текущая директория>\tlz79zs5k5
<Текущая директория>\3ux1wi6mkt
<Текущая директория>\uvrdi3mupm
<Текущая директория>\nvnefi6cpb
<Текущая директория>\xzgrx4e4bb
<Текущая директория>\c8hbu95hjm
<Текущая директория>\66eajznonj
<Текущая директория>\2eadfupzpn
<Текущая директория>\yrsnkpylkg
<Текущая директория>\nytdeavfi8
<Текущая директория>\krjsrzhqf2
<Текущая директория>\raq2j87dg9
<Текущая директория>\abehgdu78e
<Текущая директория>\9jrq6yladm
<Текущая директория>\rvfkwh6xpz
<Текущая директория>\w4qn8p5jwg
<Текущая директория>\n9ecajol9y
<Текущая директория>\dn7nmo6uuy
<Текущая директория>\gxrire3dsq
<Текущая директория>\dbex8r0mjx
<Текущая директория>\tf26xoobz4
<Текущая директория>\eli9gda2ex
<Текущая директория>\apcjwa2hhf

Сетевая активность

TCP

Запросы HTTP GET

http://18#.#20.249.212/wrlk9s52rlnyuch9i8kh8bzax9g3fw1y6h1pwv7p5jtvnxt6ohilbm0u6qu359vdwe0imqqqet6ra0x174ylzf4y/54w1htd5snhc9bbi491f90xg8zsf2l/220e9c9680ea922ea1b9fa5155de3ad62bcaf07d.php?4d###...
http://18#.#20.249.212/wrlk9s52rlnyuch9i8kh8bzax9g3fw1y6h1pwv7p5jtvnxt6ohilbm0u6qu359vdwe0imqqqet6ra0x174ylzf4y/54w1htd5snhc9bbi491f90xg8zsf2l/220e9c9680ea922ea1b9fa5155de3ad62bcaf07d.php?2b###...
http://18#.#20.249.212/wrlk9s52rlnyuch9i8kh8bzax9g3fw1y6h1pwv7p5jtvnxt6ohilbm0u6qu359vdwe0imqqqet6ra0x174ylzf4y/54w1htd5snhc9bbi491f90xg8zsf2l/3jgnhx9smjezbsfvuzo5envtm7nqj8a8/0e8fb847918e4228f...

'ip##fo.io':443

UDP

DNS ASK ip##fo.io

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\winperf\o9BpkaCMu53DDQuvcy9oUwbi2v7orH.vbs"
'%APPDATA%\winperf\ariefknacn89i194a7ok.exe' -pf0d0dd7f6ebcfebef8377ad27a7484582c5f5b88
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\winperf\VyNDqTGweKs9HX0IJzPkZT7Fw7vFQ8.vbe"
'%APPDATA%\winperf\downswapy.exe'
'<Текущая директория>\downswapy.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\winperf\94mIEmOpOD8pPDeSKDlXOEn5RMA3Mg.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\winperf\XSani4qGNMCyak5ZjmeJsheAqjKqXK.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\winperf\94mIEmOpOD8pPDeSKDlXOEn5RMA3Mg.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\winperf\XSani4qGNMCyak5ZjmeJsheAqjKqXK.bat" "
'%WINDIR%\syswow64\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\PerfLogs\Admin\iexplore.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'%ProgramFiles(x86)%\MSBuild\Microsoft\dwm.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'C:\PerfLogs\Admin\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\MSOCache\All Users\lsass.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Visual Studio 8\Common7\Packages\Debugger\winlogon.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\smss.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "downswapy" /sc ONLOGON /tr "'<Текущая директория>\downswapy.exe'" /rl HIGHEST /f

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней