Trojan.Siggen11.29377

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\w-2-7-95-1169790321-1273881034-1157172693-4278\{weclx8b5-friw-n4ne-9v1p-ztfitde1xwzo}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\enu_fe975a9eeafe6aab2535
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jnptjutj\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zjlfhppx\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\q81qfsct\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\f3cid92l\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\information.txt
%TEMP%\aut3a17.tmp
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.module.exe.9
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.module.exe
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\enu_fe975a9eeafe6aab2535.7z
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\shortinformation.txt
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\telegram\d877f783d5d3ef8c1
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\telegram\d877f783d5d3ef8c\map0
%TEMP%\auta15d.tmp
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.sqlite3.module.dll.9
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.sqlite3.module.dll
%TEMP%\auta351.tmp
%TEMP%\~rrcyrxd.tmp
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\screen.jpg
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\applicantform_en.doc
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\cveuropeo.doc
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\uep_form_786_bulletin_1726i602.doc
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\file_p_00000000_1371597592.docx
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\holycrosschurchinstructions.docx
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\nwfieldnotes1966.docx
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\steam\config\config.vdf
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\steam\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\steam\config\dialogconfig.vdf
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\telegram\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\e

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jnptjutj\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zjlfhppx\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\q81qfsct\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\f3cid92l\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\auta15d.tmp
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\telegram\d877f783d5d3ef8c1
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\steam\config\dialogconfig.vdf
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\steam\config\config.vdf
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\steam\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\uep_form_786_bulletin_1726i602.doc
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\nwfieldnotes1966.docx
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\holycrosschurchinstructions.docx
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\file_p_00000000_1371597592.docx
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\cveuropeo.doc
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\telegram\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\desktop txt files\applicantform_en.doc
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\information.txt
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\e
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.module.exe
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.module.exe.9
%TEMP%\aut3a17.tmp
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.sqlite3.module.dll
%TEMP%\~rrcyrxd.tmp
%TEMP%\auta351.tmp
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.sqlite3.module.dll.9
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\screen.jpg
%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\abc\telegram\d877f783d5d3ef8c\map0

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.exe

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'ip##i.co':443

'ap#.##legram.org':443

UDP

DNS ASK ip##i.co
DNS ASK microsoft.com
DNS ASK ap#.##legram.org

Другое

Создает и запускает на исполнение

'%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.module.exe' a -y -mx9 -ssw "%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\ENU_FE975A9EEAFE6AAB2535.7z" "%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\ABC\*"
'%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.module.exe' a -y -mx9 -ssw "%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\ENU_FE975A9EEAFE6AAB2535.7z" "%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\ABC\*"' (со скрытым окном)
'%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources\tokenbinding.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\wow64_microsoft-windows-mccs-syncres.resources"
'<SYSTEM32>\taskeng.exe' {D1678A62-97DF-46BA-826D-7A857EE9729A} S-1-5-21-1960123792-2022915161-3775307078-1001:kjjfnoznnyju\user:Interactive:[1]

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней