Trojan.Siggen10.22178

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /PID 1236

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

следующие пользовательские процессы:

chrome.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
%TEMP%\tmpb524.tmp
%TEMP%\tmpb523.tmp
%TEMP%\tmpb522.tmp
%TEMP%\tmpb521.tmp
%TEMP%\tmpb510.tmp
%TEMP%\tmpb50f.tmp
%TEMP%\tmpb50e.tmp
%TEMP%\tmpb50d.tmp
%TEMP%\tmpb4fd.tmp
%TEMP%\tmpb4fc.tmp
%TEMP%\tmpb4fb.tmp
%TEMP%\tmpb4fa.tmp
%TEMP%\tmpb4e9.tmp
%TEMP%\tmpb4e8.tmp
%TEMP%\tmpb4e7.tmp
%TEMP%\tmpb4e6.tmp
%TEMP%\tmpb4d6.tmp
%TEMP%\tmpb4d5.tmp
%TEMP%\tmpb4d4.tmp
%TEMP%\tmpb4d3.tmp
%TEMP%\tmpb4c2.tmp
%TEMP%\tmpb535.tmp
%TEMP%\tmpb536.tmp
%TEMP%\tmpb537.tmp
%TEMP%\tmpb538.tmp
%TEMP%\tmpb5ca.tmp
%TEMP%\tmpb5aa.tmp
%TEMP%\tmpb59a.tmp
%TEMP%\tmpb599.tmp
%TEMP%\tmpb598.tmp
%TEMP%\tmpb587.tmp
%TEMP%\tmpb586.tmp
%TEMP%\tmpb585.tmp
%TEMP%\tmpb584.tmp
%TEMP%\tmpb583.tmp
%TEMP%\tmpb571.tmp
%TEMP%\tmpb572.tmp
%TEMP%\tmpb561.tmp
%TEMP%\tmpb560.tmp
%TEMP%\tmpb55f.tmp
%TEMP%\tmpb55e.tmp
%TEMP%\tmpb55d.tmp
%TEMP%\tmpb54c.tmp
%TEMP%\tmpb54b.tmp
%TEMP%\tmpb54a.tmp
%TEMP%\tmpb549.tmp
%TEMP%\tmpb539.tmp
%TEMP%\tmpb5eb.tmp
%TEMP%\tmpb4c1.tmp
%TEMP%\tmpb4c0.tmp
%TEMP%\tmpb4bf.tmp
%TEMP%\tmpb407.tmp
%TEMP%\tmpb406.tmp
%TEMP%\tmpb405.tmp
%TEMP%\tmpb3f4.tmp
%TEMP%\tmpb3f3.tmp
%TEMP%\tmpb3e3.tmp
%TEMP%\tmpb3e2.tmp
%TEMP%\tmpb3d1.tmp
%TEMP%\tmpb3d0.tmp
%TEMP%\tmpb3cf.tmp
%TEMP%\tmpb3bf.tmp
%TEMP%\tmpb3be.tmp
%TEMP%\tmpb3ad.tmp
%TEMP%\tmpb3ac.tmp
%TEMP%\tmpb39b.tmp
%TEMP%\tmpb39a.tmp
%TEMP%\tmpb38a.tmp
%TEMP%\tmpb389.tmp
%TEMP%\tmpb388.tmp
%TEMP%\tmpb339.tmp
%TEMP%\tmpb328.tmp
%TEMP%\tmpb418.tmp
%TEMP%\tmpb419.tmp
%TEMP%\tmpb41a.tmp
%TEMP%\tmpb42a.tmp
%TEMP%\tmpb4ad.tmp
%TEMP%\tmpb49d.tmp
%TEMP%\tmpb49c.tmp
%TEMP%\tmpb49b.tmp
%TEMP%\tmpb48a.tmp
%TEMP%\tmpb489.tmp
%TEMP%\tmpb488.tmp
%TEMP%\tmpb478.tmp
%TEMP%\tmpb477.tmp
%TEMP%\tmpb466.tmp
%TEMP%\tmpb464.tmp
%TEMP%\tmpb465.tmp
%TEMP%\tmpb453.tmp
%TEMP%\tmpb452.tmp
%TEMP%\tmpb451.tmp
%TEMP%\tmpb450.tmp
%TEMP%\tmpb440.tmp
%TEMP%\tmpb43f.tmp
%TEMP%\tmpb43e.tmp
%TEMP%\tmpb43d.tmp
%TEMP%\tmpb42c.tmp
%TEMP%\tmpb42b.tmp
%TEMP%\tmpb4ae.tmp
%TEMP%\tmpb5fb.tmp

Удаляет следующие файлы

%TEMP%\tmpb339.tmp
%TEMP%\tmpb4e9.tmp
%TEMP%\tmpb4fb.tmp
%TEMP%\tmpb4fd.tmp
%TEMP%\tmpb50e.tmp
%TEMP%\tmpb510.tmp
%TEMP%\tmpb522.tmp
%TEMP%\tmpb524.tmp
%TEMP%\tmpb536.tmp
%TEMP%\tmpb538.tmp
%TEMP%\tmpb4d6.tmp
%TEMP%\tmpb4e7.tmp
%TEMP%\tmpb549.tmp
%TEMP%\tmpb55f.tmp
%TEMP%\tmpb561.tmp
%TEMP%\tmpb572.tmp
%TEMP%\tmpb584.tmp
%TEMP%\tmpb586.tmp
%TEMP%\tmpb598.tmp
%TEMP%\tmpb59a.tmp
%TEMP%\tmpb5aa.tmp
%TEMP%\tmpb5ca.tmp
%TEMP%\tmpb54b.tmp
%TEMP%\tmpb55d.tmp
%TEMP%\tmpb4d4.tmp
%TEMP%\tmpb4c2.tmp
%TEMP%\tmpb4c0.tmp
%TEMP%\tmpb39a.tmp
%TEMP%\tmpb3ac.tmp
%TEMP%\tmpb3be.tmp
%TEMP%\tmpb3cf.tmp
%TEMP%\tmpb3d1.tmp
%TEMP%\tmpb3e3.tmp
%TEMP%\tmpb3f4.tmp
%TEMP%\tmpb406.tmp
%TEMP%\tmpb418.tmp
%TEMP%\tmpb41a.tmp
%TEMP%\tmpb389.tmp
%TEMP%\tmpb42b.tmp
%TEMP%\tmpb43f.tmp
%TEMP%\tmpb450.tmp
%TEMP%\tmpb452.tmp
%TEMP%\tmpb464.tmp
%TEMP%\tmpb466.tmp
%TEMP%\tmpb478.tmp
%TEMP%\tmpb489.tmp
%TEMP%\tmpb49b.tmp
%TEMP%\tmpb49d.tmp
%TEMP%\tmpb4ae.tmp
%TEMP%\tmpb43d.tmp
%TEMP%\tmpb5eb.tmp
%TEMP%\tmpb5fb.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://www.ge###ugin.net/json.gp?ip###############

Запросы HTTP POST

http://13#.###.180.174:35253/IRemotePanel via 13#.#24.180.174

'3i###.tugunhey.ru':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK 3i###.tugunhey.ru
DNS ASK vy##.#ugunhey.ru
DNS ASK x2##.hulanum.ru
DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ge###ugin.net

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 1236 && choice /C Y /N /D Y /T 3 & Del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3