Trojan.Siggen10.21296

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /PID 2404

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp8ca5.tmp
%TEMP%\tmp8f6d.tmp
%TEMP%\tmp8f6c.tmp
%TEMP%\tmp8f6b.tmp
%TEMP%\tmp8f5b.tmp
%TEMP%\tmp8f5a.tmp
%TEMP%\tmp8f49.tmp
%TEMP%\tmp8f48.tmp
%TEMP%\tmp8f47.tmp
%TEMP%\tmp8f37.tmp
%TEMP%\tmp8f36.tmp
%TEMP%\tmp8f35.tmp
%TEMP%\tmp8f34.tmp
%TEMP%\tmp8f23.tmp
%TEMP%\tmp8f22.tmp
%TEMP%\tmp8f11.tmp
%TEMP%\tmp8f10.tmp
%TEMP%\tmp8f0f.tmp
%TEMP%\tmp8eff.tmp
%TEMP%\tmp8efe.tmp
%TEMP%\tmp8efd.tmp
%TEMP%\tmp8eec.tmp
%TEMP%\tmp8eea.tmp
%TEMP%\tmp8eeb.tmp
%TEMP%\tmp8f6e.tmp
%TEMP%\tmp8f7f.tmp
%TEMP%\tmp9012.tmp
%TEMP%\tmp9001.tmp
%TEMP%\tmp8ff1.tmp
%TEMP%\tmp8fe0.tmp
%TEMP%\tmp8fdf.tmp
%TEMP%\tmp8fde.tmp
%TEMP%\tmp8fdd.tmp
%TEMP%\tmp8fcc.tmp
%TEMP%\tmp8fcb.tmp
%TEMP%\tmp8fca.tmp
%TEMP%\tmp8fb9.tmp
%TEMP%\tmp8e6e.tmp
%TEMP%\tmp8fb8.tmp
%TEMP%\tmp8fb7.tmp
%TEMP%\tmp8fa6.tmp
%TEMP%\tmp8fa5.tmp
%TEMP%\tmp8f95.tmp
%TEMP%\tmp8f94.tmp
%TEMP%\tmp8f93.tmp
%TEMP%\tmp8f92.tmp
%TEMP%\tmp8f81.tmp
%TEMP%\tmp8f80.tmp
%TEMP%\tmp8ee9.tmp
%TEMP%\tmp8ed9.tmp
%TEMP%\tmp8ed8.tmp
%TEMP%\tmp8df1.tmp
%TEMP%\tmp8df0.tmp
%TEMP%\tmp8ddf.tmp
%TEMP%\tmp8dcf.tmp
%TEMP%\tmp8dce.tmp
%TEMP%\tmp8dbd.tmp
%TEMP%\tmp8dac.tmp
%TEMP%\tmp8d9c.tmp
%TEMP%\tmp8d9b.tmp
%TEMP%\tmp8d8a.tmp
%TEMP%\tmp8d7a.tmp
%TEMP%\tmp8d79.tmp
%TEMP%\tmp8d68.tmp
%TEMP%\tmp8d57.tmp
%TEMP%\tmp8d47.tmp
%TEMP%\tmp8d27.tmp
%TEMP%\tmp8d16.tmp
%TEMP%\tmp8d15.tmp
%TEMP%\tmp8d14.tmp
%TEMP%\tmp8ca6.tmp
%TEMP%\tmp8e02.tmp
%TEMP%\tmp8e03.tmp
%TEMP%\tmp8df2.tmp
%TEMP%\tmp8e14.tmp
%TEMP%\tmp8ec7.tmp
%TEMP%\tmp8e15.tmp
%TEMP%\tmp8ec6.tmp
%TEMP%\tmp8eb5.tmp
%TEMP%\tmp8eb4.tmp
%TEMP%\tmp8eb3.tmp
%TEMP%\tmp8ea3.tmp
%TEMP%\tmp8ea2.tmp
%TEMP%\tmp8e91.tmp
%TEMP%\tmp8e90.tmp
%TEMP%\tmp8e80.tmp
%TEMP%\tmp8fba.tmp
%TEMP%\tmp9042.tmp
%TEMP%\tmp8e5d.tmp
%TEMP%\tmp8e4d.tmp
%TEMP%\tmp8e4c.tmp
%TEMP%\tmp8e4b.tmp
%TEMP%\tmp8e3a.tmp
%TEMP%\tmp8e39.tmp
%TEMP%\tmp8e38.tmp
%TEMP%\tmp8e28.tmp
%TEMP%\tmp8e27.tmp
%TEMP%\tmp8e16.tmp
%TEMP%\tmp8e6f.tmp
%TEMP%\tmp9052.tmp

Удаляет следующие файлы

%TEMP%\tmp8ca6.tmp
%TEMP%\tmp8f11.tmp
%TEMP%\tmp8f23.tmp
%TEMP%\tmp8f35.tmp
%TEMP%\tmp8f37.tmp
%TEMP%\tmp8f48.tmp
%TEMP%\tmp8f5a.tmp
%TEMP%\tmp8f6b.tmp
%TEMP%\tmp8f6d.tmp
%TEMP%\tmp8f7f.tmp
%TEMP%\tmp8efe.tmp
%TEMP%\tmp8f0f.tmp
%TEMP%\tmp8f81.tmp
%TEMP%\tmp8fa6.tmp
%TEMP%\tmp8fb8.tmp
%TEMP%\tmp8fba.tmp
%TEMP%\tmp8fcb.tmp
%TEMP%\tmp8fdd.tmp
%TEMP%\tmp8fdf.tmp
%TEMP%\tmp8ff1.tmp
%TEMP%\tmp9001.tmp
%TEMP%\tmp9012.tmp
%TEMP%\tmp8f93.tmp
%TEMP%\tmp8f95.tmp
%TEMP%\tmp8eec.tmp
%TEMP%\tmp8eea.tmp
%TEMP%\tmp8ed9.tmp
%TEMP%\tmp8d27.tmp
%TEMP%\tmp8d57.tmp
%TEMP%\tmp8d79.tmp
%TEMP%\tmp8d8a.tmp
%TEMP%\tmp8d9c.tmp
%TEMP%\tmp8dbd.tmp
%TEMP%\tmp8dcf.tmp
%TEMP%\tmp8df0.tmp
%TEMP%\tmp8df2.tmp
%TEMP%\tmp8e03.tmp
%TEMP%\tmp8d15.tmp
%TEMP%\tmp8e15.tmp
%TEMP%\tmp8e38.tmp
%TEMP%\tmp8e3a.tmp
%TEMP%\tmp8e4c.tmp
%TEMP%\tmp8e5d.tmp
%TEMP%\tmp8e6f.tmp
%TEMP%\tmp8e90.tmp
%TEMP%\tmp8ea2.tmp
%TEMP%\tmp8eb3.tmp
%TEMP%\tmp8eb5.tmp
%TEMP%\tmp8ec7.tmp
%TEMP%\tmp8e27.tmp
%TEMP%\tmp9042.tmp
%TEMP%\tmp9052.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://www.ge###ugin.net/json.gp?ip###############

Запросы HTTP POST

http://91.###.226.22:83/IRemotePanel via 91.##5.226.22

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ge###ugin.net

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2404 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3