Trojan.Siggen10.22654

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /PID 2472

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp3275.tmp
%TEMP%\tmp351e.tmp
%TEMP%\tmp350e.tmp
%TEMP%\tmp34fd.tmp
%TEMP%\tmp34fc.tmp
%TEMP%\tmp34fb.tmp
%TEMP%\tmp34fa.tmp
%TEMP%\tmp34e9.tmp
%TEMP%\tmp34e8.tmp
%TEMP%\tmp34e7.tmp
%TEMP%\tmp34d7.tmp
%TEMP%\tmp34d6.tmp
%TEMP%\tmp34d5.tmp
%TEMP%\tmp34c4.tmp
%TEMP%\tmp34c3.tmp
%TEMP%\tmp34b3.tmp
%TEMP%\tmp34a2.tmp
%TEMP%\tmp34a1.tmp
%TEMP%\tmp34a0.tmp
%TEMP%\tmp348f.tmp
%TEMP%\tmp348e.tmp
%TEMP%\tmp347e.tmp
%TEMP%\tmp347c.tmp
%TEMP%\tmp347d.tmp
%TEMP%\tmp351f.tmp
%TEMP%\tmp3520.tmp
%TEMP%\tmp35f1.tmp
%TEMP%\tmp35b2.tmp
%TEMP%\tmp35a1.tmp
%TEMP%\tmp35a0.tmp
%TEMP%\tmp359f.tmp
%TEMP%\tmp358f.tmp
%TEMP%\tmp358e.tmp
%TEMP%\tmp358d.tmp
%TEMP%\tmp357c.tmp
%TEMP%\tmp357b.tmp
%TEMP%\tmp356a.tmp
%TEMP%\tmp340f.tmp
%TEMP%\tmp3569.tmp
%TEMP%\tmp3568.tmp
%TEMP%\tmp3557.tmp
%TEMP%\tmp3556.tmp
%TEMP%\tmp3545.tmp
%TEMP%\tmp3544.tmp
%TEMP%\tmp3543.tmp
%TEMP%\tmp3533.tmp
%TEMP%\tmp3532.tmp
%TEMP%\tmp3531.tmp
%TEMP%\tmp347b.tmp
%TEMP%\tmp346a.tmp
%TEMP%\tmp3469.tmp
%TEMP%\tmp3392.tmp
%TEMP%\tmp3381.tmp
%TEMP%\tmp3380.tmp
%TEMP%\tmp3370.tmp
%TEMP%\tmp336f.tmp
%TEMP%\tmp335e.tmp
%TEMP%\tmp334e.tmp
%TEMP%\tmp333d.tmp
%TEMP%\tmp333c.tmp
%TEMP%\tmp333b.tmp
%TEMP%\tmp332a.tmp
%TEMP%\tmp331a.tmp
%TEMP%\tmp3319.tmp
%TEMP%\tmp3318.tmp
%TEMP%\tmp3307.tmp
%TEMP%\tmp32f7.tmp
%TEMP%\tmp32e6.tmp
%TEMP%\tmp32e5.tmp
%TEMP%\tmp32d4.tmp
%TEMP%\tmp3285.tmp
%TEMP%\tmp33a4.tmp
%TEMP%\tmp33a5.tmp
%TEMP%\tmp33a3.tmp
%TEMP%\tmp33b5.tmp
%TEMP%\tmp3459.tmp
%TEMP%\tmp33b6.tmp
%TEMP%\tmp3458.tmp
%TEMP%\tmp3457.tmp
%TEMP%\tmp3446.tmp
%TEMP%\tmp3445.tmp
%TEMP%\tmp3434.tmp
%TEMP%\tmp3433.tmp
%TEMP%\tmp3432.tmp
%TEMP%\tmp3422.tmp
%TEMP%\tmp3411.tmp
%TEMP%\tmp357a.tmp
%TEMP%\tmp3621.tmp
%TEMP%\tmp33ff.tmp
%TEMP%\tmp33fe.tmp
%TEMP%\tmp33ed.tmp
%TEMP%\tmp33dc.tmp
%TEMP%\tmp33db.tmp
%TEMP%\tmp33da.tmp
%TEMP%\tmp33d9.tmp
%TEMP%\tmp33c9.tmp
%TEMP%\tmp33c8.tmp
%TEMP%\tmp33c7.tmp
%TEMP%\tmp3410.tmp
%TEMP%\tmp3632.tmp

Удаляет следующие файлы

%TEMP%\tmp3285.tmp
%TEMP%\tmp34b3.tmp
%TEMP%\tmp34c4.tmp
%TEMP%\tmp34d6.tmp
%TEMP%\tmp34e7.tmp
%TEMP%\tmp34e9.tmp
%TEMP%\tmp34fb.tmp
%TEMP%\tmp34fd.tmp
%TEMP%\tmp351e.tmp
%TEMP%\tmp3520.tmp
%TEMP%\tmp348f.tmp
%TEMP%\tmp34a1.tmp
%TEMP%\tmp3532.tmp
%TEMP%\tmp3557.tmp
%TEMP%\tmp3569.tmp
%TEMP%\tmp357a.tmp
%TEMP%\tmp357c.tmp
%TEMP%\tmp358e.tmp
%TEMP%\tmp359f.tmp
%TEMP%\tmp35a1.tmp
%TEMP%\tmp35b2.tmp
%TEMP%\tmp35f1.tmp
%TEMP%\tmp3543.tmp
%TEMP%\tmp3545.tmp
%TEMP%\tmp347e.tmp
%TEMP%\tmp347c.tmp
%TEMP%\tmp346a.tmp
%TEMP%\tmp32f7.tmp
%TEMP%\tmp3318.tmp
%TEMP%\tmp331a.tmp
%TEMP%\tmp333b.tmp
%TEMP%\tmp333d.tmp
%TEMP%\tmp335e.tmp
%TEMP%\tmp3370.tmp
%TEMP%\tmp3381.tmp
%TEMP%\tmp33a3.tmp
%TEMP%\tmp33a5.tmp
%TEMP%\tmp32e5.tmp
%TEMP%\tmp33b6.tmp
%TEMP%\tmp33d9.tmp
%TEMP%\tmp33db.tmp
%TEMP%\tmp33ed.tmp
%TEMP%\tmp33ff.tmp
%TEMP%\tmp3410.tmp
%TEMP%\tmp3422.tmp
%TEMP%\tmp3433.tmp
%TEMP%\tmp3445.tmp
%TEMP%\tmp3457.tmp
%TEMP%\tmp3459.tmp
%TEMP%\tmp33c8.tmp
%TEMP%\tmp3621.tmp
%TEMP%\tmp3632.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://www.ge###ugin.net/json.gp?ip###############

Запросы HTTP POST

http://om###nian.club/IRemotePanel

'00###.tugunhey.ru':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK 00###.tugunhey.ru
DNS ASK om###nian.club
DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ge###ugin.net

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
'%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2472 && choice /C Y /N /D Y /T 3 & Del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe"
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3