Trojan.Siggen10.42687

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\svchost
<SYSTEM32>\tasks\lsass
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\idle

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\sdszfo.docx

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

C:\far2\addons\setup\svchost.exe
%TEMP%\zqikw81wff
%TEMP%\6dkfobecld
%TEMP%\0mlrgwha6m
%TEMP%\cwen2yvyoz
%TEMP%\jqphgj8l5r
%TEMP%\7ifkhnebdz
%TEMP%\b003dky6nz
%TEMP%\cslre4yaxa
%TEMP%\dvmcdjhjsc
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\qpywdj6elg
%TEMP%\y5fpodr4fo
%TEMP%\4uvo7savnv
%TEMP%\lb8fasutqi
%TEMP%\qzq6bfvlp9
%TEMP%\2e1856ujyv
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\7yjjgokped
%TEMP%\vwws533id3
%TEMP%\pr1westsnb
%TEMP%\a3277a6890417b89df1293676d704ee0.dat
C:\msocache\all users\svchost.exe
C:\msocache\all users\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
C:\documents and settings\lsass.exe
C:\documents and settings\6203df4a6bafc7c328ee7f6f8ca0a8a838a8a1b9
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\iexplore.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ProgramFiles%\fsdfwd\iexplore.exe
C:\far2\addons\setup\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
%ProgramFiles%\fsdfwd\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ProgramFiles%\googleupdate\6ccacd8608530fba3a93e87ae2225c7032aa18c1
C:\perflogs\admin\svchost.exe
C:\perflogs\admin\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
%TEMP%\r9i5utwwgy
%TEMP%\aghuza1hbm
%TEMP%\j59s9b8bjm
%TEMP%\dz7s9dnimi
%TEMP%\vl1yf4bov4
%ProgramFiles%\googleupdate\idle.exe
%TEMP%\ilbzvw79ow
%TEMP%\tinhyedync

Удаляет следующие файлы

%TEMP%\r9i5utwwgy
%TEMP%\2e1856ujyv
%TEMP%\qzq6bfvlp9
%TEMP%\lb8fasutqi
%TEMP%\4uvo7savnv
%TEMP%\y5fpodr4fo
%TEMP%\qpywdj6elg
%TEMP%\b003dky6nz
%TEMP%\7ifkhnebdz
%TEMP%\jqphgj8l5r
%TEMP%\cwen2yvyoz
%TEMP%\ilbzvw79ow
%TEMP%\0mlrgwha6m
%TEMP%\zqikw81wff
%TEMP%\dvmcdjhjsc
%TEMP%\cslre4yaxa
%TEMP%\7yjjgokped
%TEMP%\vwws533id3
%TEMP%\pr1westsnb
%TEMP%\vl1yf4bov4
%TEMP%\dz7s9dnimi
%TEMP%\j59s9b8bjm
%TEMP%\aghuza1hbm
%TEMP%\6dkfobecld
%TEMP%\tinhyedync

Сетевая активность

TCP

Запросы HTTP GET

http://17#.#50.156.21/izo42nglfcsxy4xrdsm8f2amn1zre817vauu9687vob3p1cpjkkiw746h5rpgmj19l7a2i2q6ewbn/qtwir46/fe9a414dbaff6c499b2bd044eb94baca986f7e63.php?1d######################################...
http://17#.#50.156.21/izo42nglfcsxy4xrdsm8f2amn1zre817vauu9687vob3p1cpjkkiw746h5rpgmj19l7a2i2q6ewbn/qtwir46/fe9a414dbaff6c499b2bd044eb94baca986f7e63.php?60######################################...
http://17#.#50.156.21/izo42nglfcsxy4xrdsm8f2amn1zre817vauu9687vob3p1cpjkkiw746h5rpgmj19l7a2i2q6ewbn/qtwir46/5qezbf0zyi0nmlp2rtll0m62o2bocx3l4g7ut8s4656lrgdjq13hszw49vhnfueu5rcfkx9nqdbxm3k10k8p6...

'ip##fo.io':443

UDP

DNS ASK ip##fo.io

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'C:\perflogs\admin\svchost.exe'

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'C:\Far2\Addons\SetUp\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'C:\MSOCache\All Users\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\Documents and Settings\lsass.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\iexplore.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles%\fsdfwd\iexplore.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'%ProgramFiles%\GoogleUpdate\Idle.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'C:\PerfLogs\Admin\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose