Trojan.Siggen10.36864

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

nul
%TEMP%\tmpb978.tmp
%TEMP%\tmpb977.tmp
%TEMP%\tmpb966.tmp
%TEMP%\tmpb965.tmp
%TEMP%\tmpb964.tmp
%TEMP%\tmpb963.tmp
%TEMP%\tmpb952.tmp
%TEMP%\tmpb951.tmp
%TEMP%\tmpb950.tmp
%TEMP%\tmpb94f.tmp
%TEMP%\tmpb94e.tmp
%TEMP%\tmpb93e.tmp
%TEMP%\tmpb93d.tmp
%TEMP%\tmpb93c.tmp
%TEMP%\tmpb93b.tmp
%TEMP%\tmpb93a.tmp
%TEMP%\tmpb929.tmp
%TEMP%\tmpb928.tmp
%TEMP%\tmpb927.tmp
%TEMP%\tmpb926.tmp
%TEMP%\tmpb916.tmp
%TEMP%\tmpb979.tmp
%TEMP%\tmpb97a.tmp
%TEMP%\tmpb98a.tmp
%TEMP%\tmpb98b.tmp
%TEMP%\tmpb9ef.tmp
%TEMP%\tmpb9df.tmp
%TEMP%\tmpb9de.tmp
%TEMP%\tmpb9cd.tmp
%TEMP%\tmpb9cc.tmp
%TEMP%\tmpb9cb.tmp
%TEMP%\tmpb9ca.tmp
%TEMP%\tmpb9c9.tmp
%TEMP%\tmpb9b8.tmp
%TEMP%\tmpb9b7.tmp
%TEMP%\tmpb9b5.tmp
%TEMP%\tmpb9b6.tmp
%TEMP%\tmpb9b4.tmp
%TEMP%\tmpb9a4.tmp
%TEMP%\tmpb9a3.tmp
%TEMP%\tmpb9a2.tmp
%TEMP%\tmpb9a1.tmp
%TEMP%\tmpb9a0.tmp
%TEMP%\tmpb98f.tmp
%TEMP%\tmpb98e.tmp
%TEMP%\tmpb98d.tmp
%TEMP%\tmpb98c.tmp
%TEMP%\tmpba00.tmp
%TEMP%\tmpb915.tmp
%TEMP%\tmpb914.tmp
%TEMP%\tmpb903.tmp
%TEMP%\tmpb85b.tmp
%TEMP%\tmpb85a.tmp
%TEMP%\tmpb849.tmp
%TEMP%\tmpb848.tmp
%TEMP%\tmpb837.tmp
%TEMP%\tmpb836.tmp
%TEMP%\tmpb835.tmp
%TEMP%\tmpb825.tmp
%TEMP%\tmpb824.tmp
%TEMP%\tmpb823.tmp
%TEMP%\tmpb812.tmp
%TEMP%\tmpb811.tmp
%TEMP%\tmpb810.tmp
%TEMP%\tmpb800.tmp
%TEMP%\tmpb7ff.tmp
%TEMP%\tmpb7fe.tmp
%TEMP%\tmpb7fd.tmp
%TEMP%\tmpb7ec.tmp
%TEMP%\tmpb7eb.tmp
%TEMP%\tmpb7ac.tmp
%TEMP%\tmpb7ab.tmp
%TEMP%\tmpb85c.tmp
%TEMP%\tmpb86c.tmp
%TEMP%\tmpb86d.tmp
%TEMP%\tmpb87e.tmp
%TEMP%\tmpb8f1.tmp
%TEMP%\tmpb8e1.tmp
%TEMP%\tmpb8e0.tmp
%TEMP%\tmpb8df.tmp
%TEMP%\tmpb8ce.tmp
%TEMP%\tmpb8cd.tmp
%TEMP%\tmpb8cc.tmp
%TEMP%\tmpb8bc.tmp
%TEMP%\tmpb8bb.tmp
%TEMP%\tmpb8ba.tmp
%TEMP%\tmpb8b8.tmp
%TEMP%\tmpb8b9.tmp
%TEMP%\tmpb8a7.tmp
%TEMP%\tmpb8a6.tmp
%TEMP%\tmpb8a5.tmp
%TEMP%\tmpb8a4.tmp
%TEMP%\tmpb893.tmp
%TEMP%\tmpb892.tmp
%TEMP%\tmpb891.tmp
%TEMP%\tmpb890.tmp
%TEMP%\tmpb880.tmp
%TEMP%\tmpb87f.tmp
%TEMP%\tmpb8f2.tmp
%TEMP%\tmpba10.tmp

Удаляет следующие файлы

%TEMP%\tmpb7ac.tmp
%TEMP%\tmpb93d.tmp
%TEMP%\tmpb94e.tmp
%TEMP%\tmpb950.tmp
%TEMP%\tmpb952.tmp
%TEMP%\tmpb964.tmp
%TEMP%\tmpb966.tmp
%TEMP%\tmpb978.tmp
%TEMP%\tmpb97a.tmp
%TEMP%\tmpb98b.tmp
%TEMP%\tmpb929.tmp
%TEMP%\tmpb93b.tmp
%TEMP%\tmpb98d.tmp
%TEMP%\tmpb9a3.tmp
%TEMP%\tmpb9b4.tmp
%TEMP%\tmpb9b6.tmp
%TEMP%\tmpb9b8.tmp
%TEMP%\tmpb9ca.tmp
%TEMP%\tmpb9cc.tmp
%TEMP%\tmpb9de.tmp
%TEMP%\tmpb9df.tmp
%TEMP%\tmpb9ef.tmp
%TEMP%\tmpb98f.tmp
%TEMP%\tmpb9a1.tmp
%TEMP%\tmpb927.tmp
%TEMP%\tmpb916.tmp
%TEMP%\tmpb914.tmp
%TEMP%\tmpb7fe.tmp
%TEMP%\tmpb800.tmp
%TEMP%\tmpb811.tmp
%TEMP%\tmpb823.tmp
%TEMP%\tmpb825.tmp
%TEMP%\tmpb836.tmp
%TEMP%\tmpb848.tmp
%TEMP%\tmpb85a.tmp
%TEMP%\tmpb85c.tmp
%TEMP%\tmpb86d.tmp
%TEMP%\tmpb7ec.tmp
%TEMP%\tmpb87f.tmp
%TEMP%\tmpb892.tmp
%TEMP%\tmpb8a4.tmp
%TEMP%\tmpb8a6.tmp
%TEMP%\tmpb8b8.tmp
%TEMP%\tmpb8ba.tmp
%TEMP%\tmpb8bc.tmp
%TEMP%\tmpb8cd.tmp
%TEMP%\tmpb8df.tmp
%TEMP%\tmpb8e1.tmp
%TEMP%\tmpb8f2.tmp
%TEMP%\tmpb890.tmp
%TEMP%\tmpba00.tmp
%TEMP%\tmpba10.tmp

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://www.ge###ugin.net/json.gp?ip###############

Запросы HTTP POST

http://45.###.214.249:35200/IRemotePanel via 45.##2.214.249

'z6####.utisgavesh.ru':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK z6####.utisgavesh.ru
DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ge###ugin.net

Другое

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""