Trojan.Siggen11.16834

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\perx upd.exe
%TEMP%\ch8pqjq8xv
%TEMP%\jng19y2jzj
%TEMP%\seaqpo6nfi
%TEMP%\tq8oljjs5w
%TEMP%\iuxl2blinj
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\pgkjyygrab
%TEMP%\mccpc3pbqz
%TEMP%\yknna8rzxn
%TEMP%\nxkwdmgzzm
%TEMP%\crr3kg1ri8
%TEMP%\wj2xue2gi0
%TEMP%\pramhhpksh
%TEMP%\rrexyybgmz
%TEMP%\rh7m5yslhc
%TEMP%\526q5zwvil
%TEMP%\dcratbuild.exe
C:\reviewsvc\sfwugl3keyvxzns7aopm.exe
C:\reviewsvc\gctwymcc5ll8dw8yuvb08no6utwabn.vbe
C:\reviewsvc\cv2dkse9cvvgrmqpeg3r8rn7cwgqns.bat
C:\reviewsvc\eogvutkdm9suorjkysf70sr7omn0qz.bat
C:\reviewsvc\hostsession.exe
C:\reviewsvc\wqaavkmnj5np3cllq8dg3uzyuw8yar.vbe
%TEMP%\llgjyhxjft
%TEMP%\nlct0lh0f8
%TEMP%\pfluytuolp
%TEMP%\bquayggfx4
%TEMP%\ysmjxwxd53
%TEMP%\8fw6nhabft
%TEMP%\occlk62cxl
%TEMP%\5rtrpqkngg
%TEMP%\pis467zcpi
%TEMP%\wzmdwhstd4

Удаляет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

http://cd####8.tmweb.ru/t4k8768yzj2zfenjzl95nmg6laa6qi5dvwj1f6pfrc5rptpuvxqvc9r92b7egssz2mr2/k7iu46h9b48384wxgevxopfcidt1boxs38z/6ee99841751a60450694e0edb3b9ecc9dd23f56c.php?u5#################...
http://cd####8.tmweb.ru/t4k8768yzj2zfenjzl95nmg6laa6qi5dvwj1f6pfrc5rptpuvxqvc9r92b7egssz2mr2/k7iu46h9b48384wxgevxopfcidt1boxs38z/mhlbckb9o1utj1dlv3z8m0nzn1yacpurgfn/38bd36aac9bca4865d2f7ee38f22...

'ip##fo.io':443

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\perx upd.exe'
'%TEMP%\dcratbuild.exe'
'%WINDIR%\syswow64\wscript.exe' "C:\reviewsvc\gcTwyMCc5ll8Dw8yUvb08nO6UTWAbN.vbe"
'C:\reviewsvc\sfwugl3keyvxzns7aopm.exe' -pb4bbc6d554b67eba0ef66ef92c1653f38270ece7
'%WINDIR%\syswow64\wscript.exe' "C:\reviewsvc\wqAaVkMnj5np3CLLq8Dg3Uzyuw8yaR.vbe"
'C:\reviewsvc\hostsession.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewsvc\CV2DKsE9CVvgRMQpeg3r8Rn7CWGQns.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewsvc\EogVUtkDM9SuoRJKYSF70Sr7OmN0qZ.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewsvc\CV2DKsE9CVvgRMQpeg3r8Rn7CWGQns.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewsvc\EogVUtkDM9SuoRJKYSF70Sr7OmN0qZ.bat" "