Trojan.Siggen10.25715

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /PID 2264

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\lisp_success.doc

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\mntemp
%TEMP%\tmpb68b.tmp
%TEMP%\tmpb67a.tmp
%TEMP%\tmpb679.tmp
%TEMP%\tmpb678.tmp
%TEMP%\tmpb677.tmp
%TEMP%\tmpb676.tmp
%TEMP%\tmpb666.tmp
%TEMP%\tmpb665.tmp
%TEMP%\tmpb664.tmp
%TEMP%\tmpb663.tmp
%TEMP%\tmpb642.tmp
%TEMP%\tmpb641.tmp
%TEMP%\tmpb631.tmp
%TEMP%\tmpb630.tmp
%TEMP%\tmpb62f.tmp
%TEMP%\tmpb61e.tmp
%TEMP%\tmpb61d.tmp
%TEMP%\tmpb61c.tmp
%TEMP%\tmpb60c.tmp
%TEMP%\tmpb60b.tmp
%TEMP%\tmpb5fa.tmp
%TEMP%\tmpb68c.tmp
%TEMP%\tmpb68d.tmp
%TEMP%\tmpb68e.tmp
%TEMP%\tmpb68f.tmp
%TEMP%\tmpb702.tmp
%TEMP%\tmpb6f2.tmp
%TEMP%\tmpb6f1.tmp
%TEMP%\tmpb6e0.tmp
%TEMP%\tmpb6df.tmp
%TEMP%\tmpb6de.tmp
%TEMP%\tmpb6dd.tmp
%TEMP%\tmpb6cd.tmp
%TEMP%\tmpb6cc.tmp
%TEMP%\tmpb6cb.tmp
%TEMP%\tmpb6c9.tmp
%TEMP%\tmpb6ca.tmp
%TEMP%\tmpb6c8.tmp
%TEMP%\tmpb6b7.tmp
%TEMP%\tmpb6b6.tmp
%TEMP%\tmpb6b5.tmp
%TEMP%\tmpb6b4.tmp
%TEMP%\tmpb6b3.tmp
%TEMP%\tmpb6a2.tmp
%TEMP%\tmpb6a1.tmp
%TEMP%\tmpb6a0.tmp
%TEMP%\tmpb69f.tmp
%TEMP%\tmpb723.tmp
%TEMP%\tmpb5f9.tmp
%TEMP%\tmpb5f8.tmp
%TEMP%\tmpb5f7.tmp
%TEMP%\tmpb54f.tmp
%TEMP%\tmpb53e.tmp
%TEMP%\tmpb53d.tmp
%TEMP%\tmpb53c.tmp
%TEMP%\tmpb52b.tmp
%TEMP%\tmpb52a.tmp
%TEMP%\tmpb529.tmp
%TEMP%\tmpb519.tmp
%TEMP%\tmpb518.tmp
%TEMP%\tmpb507.tmp
%TEMP%\tmpb4f7.tmp
%TEMP%\tmpb4f6.tmp
%TEMP%\tmpb4f5.tmp
%TEMP%\tmpb4e4.tmp
%TEMP%\tmpb4e3.tmp
%TEMP%\tmpb4d2.tmp
%TEMP%\tmpb4d1.tmp
%TEMP%\tmpb4d0.tmp
%TEMP%\tmpb4c0.tmp
%TEMP%\tmpb452.tmp
%TEMP%\tmpb441.tmp
%TEMP%\tmpb550.tmp
%TEMP%\tmpb551.tmp
%TEMP%\tmpb561.tmp
%TEMP%\tmpb562.tmp
%TEMP%\tmpb5e5.tmp
%TEMP%\tmpb5d5.tmp
%TEMP%\tmpb5d4.tmp
%TEMP%\tmpb5d3.tmp
%TEMP%\tmpb5d2.tmp
%TEMP%\tmpb5c1.tmp
%TEMP%\tmpb5c0.tmp
%TEMP%\tmpb5bf.tmp
%TEMP%\tmpb5be.tmp
%TEMP%\tmpb5ae.tmp
%TEMP%\tmpb59c.tmp
%TEMP%\tmpb5ad.tmp
%TEMP%\tmpb59b.tmp
%TEMP%\tmpb58a.tmp
%TEMP%\tmpb589.tmp
%TEMP%\tmpb588.tmp
%TEMP%\tmpb587.tmp
%TEMP%\tmpb577.tmp
%TEMP%\tmpb576.tmp
%TEMP%\tmpb575.tmp
%TEMP%\tmpb564.tmp
%TEMP%\tmpb563.tmp
%TEMP%\tmpb5e6.tmp
%TEMP%\tmpb733.tmp

Удаляет следующие файлы

%TEMP%\tmpb452.tmp
%TEMP%\tmpb631.tmp
%TEMP%\tmpb642.tmp
%TEMP%\tmpb664.tmp
%TEMP%\tmpb666.tmp
%TEMP%\tmpb677.tmp
%TEMP%\tmpb679.tmp
%TEMP%\tmpb68b.tmp
%TEMP%\tmpb68d.tmp
%TEMP%\tmpb68f.tmp
%TEMP%\tmpb61d.tmp
%TEMP%\tmpb62f.tmp
%TEMP%\tmpb6a0.tmp
%TEMP%\tmpb6b6.tmp
%TEMP%\tmpb6c8.tmp
%TEMP%\tmpb6ca.tmp
%TEMP%\tmpb6cc.tmp
%TEMP%\tmpb6dd.tmp
%TEMP%\tmpb6df.tmp
%TEMP%\tmpb6f1.tmp
%TEMP%\tmpb6f2.tmp
%TEMP%\tmpb702.tmp
%TEMP%\tmpb6a2.tmp
%TEMP%\tmpb6b4.tmp
%TEMP%\tmpb60c.tmp
%TEMP%\tmpb5fa.tmp
%TEMP%\tmpb5f8.tmp
%TEMP%\tmpb4d2.tmp
%TEMP%\tmpb4e4.tmp
%TEMP%\tmpb4f6.tmp
%TEMP%\tmpb507.tmp
%TEMP%\tmpb519.tmp
%TEMP%\tmpb52a.tmp
%TEMP%\tmpb53c.tmp
%TEMP%\tmpb53e.tmp
%TEMP%\tmpb550.tmp
%TEMP%\tmpb561.tmp
%TEMP%\tmpb4d0.tmp
%TEMP%\tmpb563.tmp
%TEMP%\tmpb577.tmp
%TEMP%\tmpb588.tmp
%TEMP%\tmpb58a.tmp
%TEMP%\tmpb59c.tmp
%TEMP%\tmpb5ae.tmp
%TEMP%\tmpb5bf.tmp
%TEMP%\tmpb5c1.tmp
%TEMP%\tmpb5d3.tmp
%TEMP%\tmpb5d5.tmp
%TEMP%\tmpb5e6.tmp
%TEMP%\tmpb575.tmp
%TEMP%\tmpb723.tmp
%TEMP%\tmpb733.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://www.ge###ugin.net/json.gp?ip###############

Запросы HTTP POST

http://13#.##4.180.253:88/IRemotePanel via 13#.#24.180.253

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ge###ugin.net

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2264 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3