Trojan.Siggen10.22133

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /PID 1724

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\mntemp
%TEMP%\tmp1fa9.tmp
%TEMP%\tmp1fa8.tmp
%TEMP%\tmp1fa7.tmp
%TEMP%\tmp1fa6.tmp
%TEMP%\tmp1f95.tmp
%TEMP%\tmp1f94.tmp
%TEMP%\tmp1f93.tmp
%TEMP%\tmp1f92.tmp
%TEMP%\tmp1f91.tmp
%TEMP%\tmp1f81.tmp
%TEMP%\tmp1f80.tmp
%TEMP%\tmp1f7f.tmp
%TEMP%\tmp1f6e.tmp
%TEMP%\tmp1f6d.tmp
%TEMP%\tmp1f6c.tmp
%TEMP%\tmp1f6b.tmp
%TEMP%\tmp1f5a.tmp
%TEMP%\tmp1f59.tmp
%TEMP%\tmp1f58.tmp
%TEMP%\tmp1f57.tmp
%TEMP%\tmp1f56.tmp
%TEMP%\tmp1fb9.tmp
%TEMP%\tmp1fba.tmp
%TEMP%\tmp1fbb.tmp
%TEMP%\tmp1fbc.tmp
%TEMP%\tmp204f.tmp
%TEMP%\tmp202f.tmp
%TEMP%\tmp201e.tmp
%TEMP%\tmp201d.tmp
%TEMP%\tmp201c.tmp
%TEMP%\tmp201b.tmp
%TEMP%\tmp201a.tmp
%TEMP%\tmp200a.tmp
%TEMP%\tmp2009.tmp
%TEMP%\tmp2008.tmp
%TEMP%\tmp1ff6.tmp
%TEMP%\tmp1ff7.tmp
%TEMP%\tmp1ff5.tmp
%TEMP%\tmp1ff4.tmp
%TEMP%\tmp1ff3.tmp
%TEMP%\tmp1fe3.tmp
%TEMP%\tmp1fe2.tmp
%TEMP%\tmp1fe1.tmp
%TEMP%\tmp1fe0.tmp
%TEMP%\tmp1fdf.tmp
%TEMP%\tmp1fce.tmp
%TEMP%\tmp1fcd.tmp
%TEMP%\tmp206f.tmp
%TEMP%\tmp1f46.tmp
%TEMP%\tmp1f45.tmp
%TEMP%\tmp1f34.tmp
%TEMP%\tmp1e5d.tmp
%TEMP%\tmp1e5c.tmp
%TEMP%\tmp1e5b.tmp
%TEMP%\tmp1e4a.tmp
%TEMP%\tmp1e49.tmp
%TEMP%\tmp1e48.tmp
%TEMP%\tmp1e38.tmp
%TEMP%\tmp1e27.tmp
%TEMP%\tmp1e26.tmp
%TEMP%\tmp1e16.tmp
%TEMP%\tmp1e15.tmp
%TEMP%\tmp1e04.tmp
%TEMP%\tmp1e03.tmp
%TEMP%\tmp1df2.tmp
%TEMP%\tmp1df1.tmp
%TEMP%\tmp1df0.tmp
%TEMP%\tmp1de0.tmp
%TEMP%\tmp1ddf.tmp
%TEMP%\tmp1dce.tmp
%TEMP%\tmp1d9e.tmp
%TEMP%\tmp1d8e.tmp
%TEMP%\tmp1e5e.tmp
%TEMP%\tmp1e6f.tmp
%TEMP%\tmp1e70.tmp
%TEMP%\tmp1e80.tmp
%TEMP%\tmp1f23.tmp
%TEMP%\tmp1f22.tmp
%TEMP%\tmp1f21.tmp
%TEMP%\tmp1f20.tmp
%TEMP%\tmp1f0f.tmp
%TEMP%\tmp1f0e.tmp
%TEMP%\tmp1f0d.tmp
%TEMP%\tmp1f0c.tmp
%TEMP%\tmp1efb.tmp
%TEMP%\tmp1efa.tmp
%TEMP%\tmp1ee9.tmp
%TEMP%\tmp1eea.tmp
%TEMP%\tmp1ed8.tmp
%TEMP%\tmp1ea8.tmp
%TEMP%\tmp1e98.tmp
%TEMP%\tmp1e97.tmp
%TEMP%\tmp1e96.tmp
%TEMP%\tmp1e95.tmp
%TEMP%\tmp1e84.tmp
%TEMP%\tmp1e83.tmp
%TEMP%\tmp1e82.tmp
%TEMP%\tmp1e81.tmp
%TEMP%\tmp1f33.tmp
%TEMP%\tmp2070.tmp

Удаляет следующие файлы

%TEMP%\tmp1d9e.tmp
%TEMP%\tmp1f6e.tmp
%TEMP%\tmp1f80.tmp
%TEMP%\tmp1f91.tmp
%TEMP%\tmp1f93.tmp
%TEMP%\tmp1f95.tmp
%TEMP%\tmp1fa7.tmp
%TEMP%\tmp1fa9.tmp
%TEMP%\tmp1fba.tmp
%TEMP%\tmp1fbc.tmp
%TEMP%\tmp1f5a.tmp
%TEMP%\tmp1f6c.tmp
%TEMP%\tmp1fce.tmp
%TEMP%\tmp1ff3.tmp
%TEMP%\tmp1ff5.tmp
%TEMP%\tmp1ff7.tmp
%TEMP%\tmp2009.tmp
%TEMP%\tmp201a.tmp
%TEMP%\tmp201c.tmp
%TEMP%\tmp201e.tmp
%TEMP%\tmp202f.tmp
%TEMP%\tmp204f.tmp
%TEMP%\tmp1fe0.tmp
%TEMP%\tmp1fe2.tmp
%TEMP%\tmp1f58.tmp
%TEMP%\tmp1f56.tmp
%TEMP%\tmp1f45.tmp
%TEMP%\tmp1df0.tmp
%TEMP%\tmp1df2.tmp
%TEMP%\tmp1e04.tmp
%TEMP%\tmp1e16.tmp
%TEMP%\tmp1e27.tmp
%TEMP%\tmp1e48.tmp
%TEMP%\tmp1e4a.tmp
%TEMP%\tmp1e5c.tmp
%TEMP%\tmp1e5e.tmp
%TEMP%\tmp1e70.tmp
%TEMP%\tmp1ddf.tmp
%TEMP%\tmp1e81.tmp
%TEMP%\tmp1e95.tmp
%TEMP%\tmp1e97.tmp
%TEMP%\tmp1ea8.tmp
%TEMP%\tmp1ee9.tmp
%TEMP%\tmp1efa.tmp
%TEMP%\tmp1f0c.tmp
%TEMP%\tmp1f0e.tmp
%TEMP%\tmp1f20.tmp
%TEMP%\tmp1f22.tmp
%TEMP%\tmp1f33.tmp
%TEMP%\tmp1e83.tmp
%TEMP%\tmp206f.tmp
%TEMP%\tmp2070.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://www.ge###ugin.net/json.gp?ip###############

Запросы HTTP POST

http://13#.##4.180.253:88/IRemotePanel via 13#.#24.180.253

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ge###ugin.net

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 1724 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3