Trojan.PWS.Siggen2.55597

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'kissq' = '%TEMP%\kissq.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%APPDATA%\mozilla\firefox\profiles.ini

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\setup.exe
%TEMP%\dafhpfgfjge\u3144.tmp
%TEMP%\dafhpfgfjge\jdrez.tmp
%TEMP%\dafhpfgfjge\jupxs.tmp
%TEMP%\dafhpfgfjge\_files\_cookies\opera.txt
%TEMP%\dafhpfgfjge\files_\cookies\opera.txt
%TEMP%\dafhpfgfjge\c5jmn.tmp
%TEMP%\dafhpfgfjge\fehs8.tmp
%TEMP%\dafhpfgfjge\_files\_allforms_list.txt
%TEMP%\dafhpfgfjge\files_\forms.txt
%TEMP%\dafhpfgfjge\_files\_allcookies_list.txt
%TEMP%\dafhpfgfjge\files_\cookies.txt
%TEMP%\dafhpfgfjge\c5jmn.tmp-shm
%TEMP%\dafhpfgfjge\_files\_screen_desktop.jpeg
%TEMP%\dafhpfgfjge\_files\_information.txt
%TEMP%\dafhpfgfjge\files_\screenshot.jpg
%TEMP%\jfiag_gg.exe
%TEMP%\fjgha23_fa.txt
%TEMP%\dafhpfgfjge\files_\system_info.txt
%TEMP%\dafhpfgfjge\wikuomzwva4b.zip
%TEMP%\kissq.exe
%TEMP%\9627.tmp
%TEMP%\dafhpfgfjge\_files\_cookies\mozilla_firefox.txt
%TEMP%\dafhpfgfjge\files_\cookies\mozilla_firefox.txt
%TEMP%\dafhpfgfjge\files_\cookies\google_chrome.txt
%TEMP%\dafhpfgfjge\_files\_cookies\google_chrome.txt
%TEMP%\dafhpfgfjge\7sczk.tmp
%TEMP%\rarsfx0\hjjgaa.exe
%TEMP%\rarsfx0\askinstall8.exe
%TEMP%\rarsfx0\install.exe
%TEMP%\rarsfx0\btrsetp.exe
%TEMP%\rarsfx0\free.exe
%TEMP%\rarsfx0\lunch.url
%TEMP%\nshb490.tmp\uac.dll
%ProgramFiles(x86)%\nextgen\lanret\4.exe
%ProgramFiles(x86)%\nextgen\lanret\pub4.exe
%ProgramFiles(x86)%\nextgen\lanret\pub4.vbs
%TEMP%\rarsfx0\002.exe
%TEMP%\nshb490.tmp\nsexec.dll
%LOCALAPPDATA%\google\chrome\userda~1\default\login data.bak
%APPDATA%\mozilla\firefox\profiles\gn7ryp~1.def\cookies.sqlite-shm
%TEMP%\dafhpfgfjge\hxbyfj.tmp
%TEMP%\dafhpfgfjge\clzkpx.tmp
%TEMP%\dafhpfgfjge\hvon8.tmp
%TEMP%\dafhpfgfjge\ea75e8.tmp
%TEMP%\dafhpfgfjge\ladtx.tmp
%TEMP%\dafhpfgfjge\o3wwz.tmp
%TEMP%\dafhpfgfjge\6u8wi.tmp
%TEMP%\dafhpfgfjge\urmf.tmp
%TEMP%\rarsfx0\config.ini
%TEMP%\jvmlbrd.exe
%TEMP%\is-k8s98.tmp\jvmlbrd.tmp

Удаляет следующие файлы

%TEMP%\nshb490.tmp\nsexec.dll
%TEMP%\nshb490.tmp\uac.dll
%TEMP%\dafhpfgfjge\c5jmn.tmp-shm

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://ip##pi.com/json/
http://fu###rrr05.top/download.php?fi########
http://ip##pi.com/json
http://su###nen.com/helka/trll.php
http://eb#####adersoftware.com/ebook.exe
http://j8#####uyf.2ihsfa.com/api/fbtime

Запросы HTTP POST

http://ff####load.online/business/receive

'ip###ger.org':443

'fa###ook.com':443

UDP

DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK ff####load.online
DNS ASK ip##pi.com
DNS ASK bi###yky03.top
DNS ASK fa###ook.com
DNS ASK fu###rrr05.top
DNS ASK 2n#.co
DNS ASK su###nen.com
DNS ASK eb#####adersoftware.com
DNS ASK j8#####uyf.2ihsfa.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\setup.exe'
'%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\NextGen\lanret\pub4.vbs" //e:vbscript //B //NOLOGO
'%ProgramFiles(x86)%\nextgen\lanret\4.exe'
'%ProgramFiles(x86)%\nextgen\lanret\pub4.exe'
'%TEMP%\rarsfx0\002.exe'
'%TEMP%\rarsfx0\hjjgaa.exe'
'%TEMP%\jfiag_gg.exe' /scookiestxt %TEMP%\fjgha23_fa.txt
'%TEMP%\jvmlbrd.exe'
'%TEMP%\is-k8s98.tmp\jvmlbrd.tmp' /SL5="$102A6,28982256,486912,%TEMP%\jvmlbrd.exe"
'%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\NextGen\lanret\pub4.vbs" //e:vbscript //B //NOLOGO' (со скрытым окном)
'%TEMP%\jfiag_gg.exe' /scookiestxt %TEMP%\fjgha23_fa.txt' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\qpueyibmqkcq.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\eytxqbi.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\jvmlbrd.exe"' (со скрытым окном)