Trojan.Siggen9.53477

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\timeout.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\mozilla\firefox\profiles.ini

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\grf\ivm21_protected.exe
%APPDATA%\opera software\opera stable\web datam
%PROGRAMDATA%\bpdvhxkdmun\files_\cookies\google_chrome.txt
%PROGRAMDATA%\bpdvhxkdmun\files_\cookies.txt
%PROGRAMDATA%\bpdvhxkdmun\files_\cookies\opera.txt
%PROGRAMDATA%\bpdvhxkdmun\maa.db
%PROGRAMDATA%\bpdvhxkdmun\mac.db
%PROGRAMDATA%\bpdvhxkdmun\mac.db-shm
%PROGRAMDATA%\bpdvhxkdmun\files_\cookies\mozilla_firefox.txt
%PROGRAMDATA%\wyntubhyjqqapb\172773668.txt
%PROGRAMDATA%\wyntubhyjqqapb\files\_filepasswords.txt
%PROGRAMDATA%\wyntubhyjqqapb\files\_screen.jpg
%PROGRAMDATA%\wyntubhyjqqapb\mhojpyhrfye.zip
%PROGRAMDATA%\bpdvhxkdmun\files_\screenshot.jpg
%PROGRAMDATA%\bpdvhxkdmun\files_\system_info.txt
%PROGRAMDATA%\bpdvhxkdmun\0g0y8lbqpn.zip
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%APPDATA%\rhgtdfs.exe
%APPDATA%\ndfsr.exe
%APPDATA%\opera software\opera stable\cookiesm
%TEMP%\tgrfedc.txt
%APPDATA%\opera software\opera stable\login datam
%LOCALAPPDATA%\google\chrome\user data\default\cookiesm
%LOCALAPPDATA%\google\chrome\user data\default\logindatacopy
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\_filepasswords.txt
%APPDATA%\opera software\opera stable\logindatacopy
%LOCALAPPDATA%\google\chrome\user data\default\webdatacopy
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\_fileforms.txt
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\_filecc.txt
%APPDATA%\opera software\opera stable\webdatacopy
%LOCALAPPDATA%\google\chrome\user data\default\cookiescopy
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\_filecookies.txt
%APPDATA%\opera software\opera stable\cookiescopy
%PROGRAMDATA%\wyntubhyjqqapb\mocc.db
%PROGRAMDATA%\wyntubhyjqqapb\mocc.db-shm
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\cookies\mozilla_firefox_cookies_hldvoeo.txt
%PROGRAMDATA%\wyntubhyjqqapb\moff.db
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\cookies\mozilla_firefox_cookies_ypgajfv.txt
%PROGRAMDATA%\grf\ivm22_protected.exe
%PROGRAMDATA%\wyntubhyjqqapb\files\_info.txt
%PROGRAMDATA%\bpdvhxkdmun\30haymuzo.txt
%LOCALAPPDATA%\google\chrome\user data\default\login datam
%LOCALAPPDATA%\google\chrome\user data\default\web datam
%APPDATA%\smart clock\smartclock.exe

Удаляет следующие файлы

%LOCALAPPDATA%\google\chrome\user data\default\logindatacopy
%PROGRAMDATA%\grf\ivm22_protected.exe
%PROGRAMDATA%\grf\ivm21_protected.exe
%PROGRAMDATA%\bpdvhxkdmun\mac.db
%PROGRAMDATA%\bpdvhxkdmun\maa.db
%PROGRAMDATA%\bpdvhxkdmun\files_\cookies.txt
%PROGRAMDATA%\bpdvhxkdmun\files_\cookies\opera.txt
%PROGRAMDATA%\wyntubhyjqqapb\moff.db
%PROGRAMDATA%\wyntubhyjqqapb\mocc.db
%PROGRAMDATA%\wyntubhyjqqapb\files\_screen.jpg
%PROGRAMDATA%\wyntubhyjqqapb\files\_info.txt
%PROGRAMDATA%\bpdvhxkdmun\mac.db-shm
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\line[1].txt
%APPDATA%\opera software\opera stable\web datam
%APPDATA%\opera software\opera stable\login datam
%LOCALAPPDATA%\google\chrome\user data\default\web datam
%LOCALAPPDATA%\google\chrome\user data\default\cookiesm
%LOCALAPPDATA%\google\chrome\user data\default\login datam
%PROGRAMDATA%\wyntubhyjqqapb\mocc.db-shm
%APPDATA%\opera software\opera stable\cookiescopy
%LOCALAPPDATA%\google\chrome\user data\default\cookiescopy
%APPDATA%\opera software\opera stable\webdatacopy
%LOCALAPPDATA%\google\chrome\user data\default\webdatacopy
%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\_filecc.txt
%APPDATA%\opera software\opera stable\logindatacopy
%APPDATA%\opera software\opera stable\cookiesm
%APPDATA%\rhgtdfs.exe

Подменяет следующие файлы

%PROGRAMDATA%\wyntubhyjqqapb\files\browsers\_filecc.txt
%PROGRAMDATA%\wyntubhyjqqapb\mocc.db-shm
%LOCALAPPDATA%\google\chrome\user data\default\login datam
%LOCALAPPDATA%\google\chrome\user data\default\cookiesm
%LOCALAPPDATA%\google\chrome\user data\default\web datam
%APPDATA%\opera software\opera stable\login datam
%APPDATA%\opera software\opera stable\cookiesm
%APPDATA%\opera software\opera stable\web datam

Сетевая активность

TCP

Запросы HTTP GET

http://ip##pi.com/line
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://rr###ad03.top/download.php?fi########
http://rr###ad03.top/downfiles/6.exe
http://rr###ad03.top/downfiles/4.exe
http://ip##pi.com/line/

Запросы HTTP POST

http://to###k02.top/index.php
http://tw##r04.top/index.php

'ip###ger.org':443

UDP

DNS ASK ip##pi.com
DNS ASK ip###ger.org
DNS ASK to###k02.top
DNS ASK tw##r04.top
DNS ASK rr###ad03.top

Другое

Ищет следующие окна

ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'

Создает и запускает на исполнение

'%PROGRAMDATA%\grf\ivm21_protected.exe'
'%PROGRAMDATA%\grf\ivm22_protected.exe'
'%APPDATA%\rhgtdfs.exe'
'%APPDATA%\ndfsr.exe'
'%APPDATA%\smart clock\smartclock.exe'
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\WyNtUBHYjQQAPB & timeout 1 & del /f /q "%PROGRAMDATA%\grf\ivm21_protected.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\BpDvhXkdmun & timeout 3 & del /f /q "%PROGRAMDATA%\grf\ivm22_protected.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\xcbglvdyqbjm & timeout 2 & del /f /q "%APPDATA%\rhgtdfs.exe"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\WyNtUBHYjQQAPB & timeout 1 & del /f /q "%PROGRAMDATA%\grf\ivm21_protected.exe"
'%WINDIR%\syswow64\timeout.exe' 1
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\BpDvhXkdmun & timeout 3 & del /f /q "%PROGRAMDATA%\grf\ivm22_protected.exe"
'%WINDIR%\syswow64\timeout.exe' 3
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\xcbglvdyqbjm & timeout 2 & del /f /q "%APPDATA%\rhgtdfs.exe"
'%WINDIR%\syswow64\timeout.exe' 2