Trojan.Siggen10.30698

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\wininit
<SYSTEM32>\tasks\explorer
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\mdm

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\dcrust.exe
%TEMP%\9g5dekrrd9
%TEMP%\26nqo4ixo5
%TEMP%\zxw97p6lpv
%TEMP%\jlihe5zvwm
%TEMP%\oktujqfcb2
%TEMP%\lk6fzngcim
%TEMP%\qpihcwl2tg
%TEMP%\eljuxglliz
%TEMP%\tevisebjfg
%TEMP%\dpmhg6bxlo
%TEMP%\ulyyhblbpr
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\soay4kng44
%TEMP%\jsvwaalstc
%TEMP%\43scebtjbk
%TEMP%\jnbxv7j63v
%TEMP%\fo5kccbhak
%TEMP%\tvzzzvhtdb
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\nigel7909m
%TEMP%\fciqhqicml
%TEMP%\gbukywqq9n
C:\fonthost\jz9apblnvqgpt8nqr6bs.exe
C:\fonthost\z1savtr8kucgxhky8nau9j4dvdpbms.vbe
C:\fonthost\3cgvdhtpx9972ythl0ze9vayfqddnb.bat
C:\fonthost\am0ogkelqj88chlbunokxddmx5jzzt.bat
C:\fonthost\drivermonitor.exe
C:\fonthost\3slv9uddidmd9muvqirq8xf2qnsxxa.vbe
%WINDIR%\help\help\en-us\csrss.exe
%WINDIR%\help\help\en-us\886983d96e3d3e31032c679b2d4ea91b6c05afef
%TEMP%\0d51f5f230547d4464ab07ab038e50f9.dat
%TEMP%\7zipsfx.000\dcrust_up.exe
C:\fonthost\wininit.exe
%ProgramFiles%\smc\explorer.exe
%ProgramFiles%\smc\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
%ProgramFiles%\prevxsetup\taskhost.exe
%ProgramFiles%\prevxsetup\b75386f1303e64d8139363b71e44ac16341adf4e
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\559fba5f8e44108851927af432f0edac6117c574
%TEMP%\4ltgtwnpuv
%TEMP%\ztbyi9uvvx
%TEMP%\gj0dmbsyih
C:\fonthost\560854153607923c4c5f107085a7db67be01f252
%TEMP%\dfuv6q8bd1
%TEMP%\pz83zpx1my

Удаляет следующие файлы

%TEMP%\7zipsfx.000\dcrust.exe
%TEMP%\tvzzzvhtdb
%TEMP%\fo5kccbhak
%TEMP%\jnbxv7j63v
%TEMP%\43scebtjbk
%TEMP%\jsvwaalstc
%TEMP%\soay4kng44
%TEMP%\ulyyhblbpr
%TEMP%\eljuxglliz
%TEMP%\qpihcwl2tg
%TEMP%\lk6fzngcim
%TEMP%\oktujqfcb2
%TEMP%\dfuv6q8bd1
%TEMP%\jlihe5zvwm
%TEMP%\26nqo4ixo5
%TEMP%\9g5dekrrd9
%TEMP%\dpmhg6bxlo
%TEMP%\tevisebjfg
%TEMP%\nigel7909m
%TEMP%\fciqhqicml
%TEMP%\gbukywqq9n
%TEMP%\gj0dmbsyih
%TEMP%\ztbyi9uvvx
%TEMP%\4ltgtwnpuv
%TEMP%\7zipsfx.000\dcrust_up.exe
%TEMP%\zxw97p6lpv
%TEMP%\pz83zpx1my

Сетевая активность

TCP

Запросы HTTP GET

http://f0####83.xsph.ru/uhujztbevrmuczvv83c1cxn34f3ieh29p9rl5a5y64hjnl064cxy0zehq19xp/3r7p4b1px3efv4/de0599418f1bcc4409e05bf4f636fe8b2b6e8e07.php?f1#############################################...
http://f0####83.xsph.ru/uhujztbevrmuczvv83c1cxn34f3ieh29p9rl5a5y64hjnl064cxy0zehq19xp/3r7p4b1px3efv4/de0599418f1bcc4409e05bf4f636fe8b2b6e8e07.php?ca#############################################...
http://f0####83.xsph.ru/uhujztbevrmuczvv83c1cxn34f3ieh29p9rl5a5y64hjnl064cxy0zehq19xp/3r7p4b1px3efv4/rccn33ta095h62d2/fdc90f44a530abe6be0c06e9ca8318b8.php?c3####################################...

'ip##fo.io':443

UDP

DNS ASK f0####83.xsph.ru
DNS ASK ip##fo.io

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\dcrust_up.exe'
'%WINDIR%\syswow64\wscript.exe' "C:\fonthost\Z1saVTR8KUcGXhkY8nAU9J4DvDpBMS.vbe"
'%TEMP%\7zipsfx.000\dcrust.exe'
'C:\fonthost\jz9apblnvqgpt8nqr6bs.exe' -p2a4e5ffde495aad50b95cab7854842ecf7b9f505
'%WINDIR%\syswow64\wscript.exe' "C:\fonthost\3slv9UddIDmd9muvQirq8xf2QnsXxa.vbe"
'C:\fonthost\drivermonitor.exe'
'C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe'
'%TEMP%\7zipsfx.000\dcrust_up.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\dcrust.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\fonthost\3CGVdhtPX9972yTHl0ze9VAyfqdDNB.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\fonthost\AM0ogkElqJ88CHlbuNokxDdmx5jZZT.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\fonthost\3CGVdhtPX9972yTHl0ze9VAyfqdDNB.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""C:\fonthost\AM0ogkElqJ88CHlbuNokxDdmx5jZZT.bat" "
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%WINDIR%\Help\Help\en-US\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\fonthost\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%ProgramFiles%\Smc\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ProgramFiles%\PrevxSetup\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe'" /rl HIGHEST /f