Trojan.Siggen10.53256

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\mntemp
%TEMP%\tmp659e.tmp
%TEMP%\tmp659d.tmp
%TEMP%\tmp658c.tmp
%TEMP%\tmp658b.tmp
%TEMP%\tmp658a.tmp
%TEMP%\tmp6589.tmp
%TEMP%\tmp6588.tmp
%TEMP%\tmp6578.tmp
%TEMP%\tmp6577.tmp
%TEMP%\tmp6576.tmp
%TEMP%\tmp659f.tmp
%TEMP%\tmp6575.tmp
%TEMP%\tmp6563.tmp
%TEMP%\tmp6562.tmp
%TEMP%\tmp6551.tmp
%TEMP%\tmp6541.tmp
%TEMP%\tmp6540.tmp
%TEMP%\tmp653f.tmp
%TEMP%\tmp652e.tmp
%TEMP%\tmp652d.tmp
%TEMP%\tmp652c.tmp
%TEMP%\tmp652b.tmp
%TEMP%\tmp6564.tmp
%TEMP%\tmp65eb.tmp
%TEMP%\tmp6645.tmp
%TEMP%\tmp65b1.tmp
%TEMP%\tmp6625.tmp
%TEMP%\tmp6614.tmp
%TEMP%\tmp6613.tmp
%TEMP%\tmp6603.tmp
%TEMP%\tmp6602.tmp
%TEMP%\tmp6601.tmp
%TEMP%\tmp6600.tmp
%TEMP%\tmp65ff.tmp
%TEMP%\tmp65ee.tmp
%TEMP%\tmp65ed.tmp
%TEMP%\tmp651b.tmp
%TEMP%\tmp65ec.tmp
%TEMP%\tmp65db.tmp
%TEMP%\tmp65da.tmp
%TEMP%\tmp65d9.tmp
%TEMP%\tmp65d8.tmp
%TEMP%\tmp65c7.tmp
%TEMP%\tmp65c6.tmp
%TEMP%\tmp65c5.tmp
%TEMP%\tmp65c4.tmp
%TEMP%\tmp65b3.tmp
%TEMP%\tmp65b2.tmp
%TEMP%\tmp65a0.tmp
%TEMP%\tmp65b0.tmp
%TEMP%\tmp651a.tmp
%TEMP%\tmp6473.tmp
%TEMP%\tmp6470.tmp
%TEMP%\tmp6460.tmp
%TEMP%\tmp644f.tmp
%TEMP%\tmp644e.tmp
%TEMP%\tmp644d.tmp
%TEMP%\tmp643c.tmp
%TEMP%\tmp643b.tmp
%TEMP%\tmp642b.tmp
%TEMP%\tmp641a.tmp
%TEMP%\tmp6419.tmp
%TEMP%\tmp6471.tmp
%TEMP%\tmp6409.tmp
%TEMP%\tmp63f7.tmp
%TEMP%\tmp63f6.tmp
%TEMP%\tmp63f5.tmp
%TEMP%\tmp63e4.tmp
%TEMP%\tmp63e3.tmp
%TEMP%\tmp63e2.tmp
%TEMP%\tmp63a3.tmp
%TEMP%\tmp63a2.tmp
nul
%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
%TEMP%\tmp6408.tmp
%TEMP%\tmp64be.tmp
%TEMP%\tmp6508.tmp
%TEMP%\tmp6484.tmp
%TEMP%\tmp6507.tmp
%TEMP%\tmp6506.tmp
%TEMP%\tmp6505.tmp
%TEMP%\tmp64f4.tmp
%TEMP%\tmp64e4.tmp
%TEMP%\tmp64e3.tmp
%TEMP%\tmp64e2.tmp
%TEMP%\tmp64d1.tmp
%TEMP%\tmp64d0.tmp
%TEMP%\tmp64c0.tmp
%TEMP%\tmp6519.tmp
%TEMP%\tmp64bf.tmp
%TEMP%\tmp64bd.tmp
%TEMP%\tmp64ac.tmp
%TEMP%\tmp64ab.tmp
%TEMP%\tmp64aa.tmp
%TEMP%\tmp6499.tmp
%TEMP%\tmp6498.tmp
%TEMP%\tmp6497.tmp
%TEMP%\tmp6496.tmp
%TEMP%\tmp6486.tmp
%TEMP%\tmp6485.tmp
%TEMP%\tmp6472.tmp
%TEMP%\tmp6646.tmp

Удаляет следующие файлы

%TEMP%\tmp63a3.tmp
%TEMP%\tmp6551.tmp
%TEMP%\tmp6563.tmp
%TEMP%\tmp6575.tmp
%TEMP%\tmp6577.tmp
%TEMP%\tmp6588.tmp
%TEMP%\tmp658a.tmp
%TEMP%\tmp658c.tmp
%TEMP%\tmp659e.tmp
%TEMP%\tmp65a0.tmp
%TEMP%\tmp65b1.tmp
%TEMP%\tmp65b3.tmp
%TEMP%\tmp65c5.tmp
%TEMP%\tmp65c7.tmp
%TEMP%\tmp65d9.tmp
%TEMP%\tmp65db.tmp
%TEMP%\tmp65ec.tmp
%TEMP%\tmp65ee.tmp
%TEMP%\tmp6600.tmp
%TEMP%\tmp6602.tmp
%TEMP%\tmp6613.tmp
%TEMP%\tmp6614.tmp
%TEMP%\tmp6625.tmp
%TEMP%\tmp6645.tmp
%TEMP%\tmp6540.tmp
%TEMP%\tmp6646.tmp
%TEMP%\tmp652e.tmp
%TEMP%\tmp651b.tmp
%TEMP%\tmp63e3.tmp
%TEMP%\tmp63f5.tmp
%TEMP%\tmp63f7.tmp
%TEMP%\tmp6409.tmp
%TEMP%\tmp641a.tmp
%TEMP%\tmp643b.tmp
%TEMP%\tmp644d.tmp
%TEMP%\tmp644f.tmp
%TEMP%\tmp6470.tmp
%TEMP%\tmp6472.tmp
%TEMP%\tmp6484.tmp
%TEMP%\tmp6486.tmp
%TEMP%\tmp6497.tmp
%TEMP%\tmp6499.tmp
%TEMP%\tmp64ab.tmp
%TEMP%\tmp64bd.tmp
%TEMP%\tmp64bf.tmp
%TEMP%\tmp64d0.tmp
%TEMP%\tmp64e2.tmp
%TEMP%\tmp64e4.tmp
%TEMP%\tmp6505.tmp
%TEMP%\tmp6507.tmp
%TEMP%\tmp6519.tmp
%TEMP%\tmp652c.tmp
%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/

Запросы HTTP POST

http://2.##.#13.140:35253/IRemotePanel via 2.##.213.140

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Полный путь к файлу>"
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "%LOCALAPPDATA%\Google\Chrome\User Data\Default\chrome.exe"