Trojan.Siggen11.39217

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '"%LOCALAPPDATA%\8fd8433a-5a93-4d1a-9eb4-1f77b660abf6\9EAE.exe" --AutoStart'

Создает или изменяет следующие файлы

Вредоносные функции

Завершает или пытается завершить

следующие пользовательские процессы:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%TEMP%\1105.tmp
%LOCALAPPDATA%\5f2a5fdc-8546-405a-80e9-60d7f5e49c46\updatewin2.exe
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\f00.exe
%LOCALAPPDATA%\5f2a5fdc-8546-405a-80e9-60d7f5e49c46\updatewin1.exe
C:\systemid\personalid.txt
%LOCALAPPDATA%\bowsakkdestx.txt
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\xd19h3qooj\wd
%ALLUSERSPROFILE%\xd19h3qooj\historych
%ALLUSERSPROFILE%\xd19h3qooj\ld
%ALLUSERSPROFILE%\xd19h3qooj\files\history\history_mozilla firefox_gn7ryp3k.default.txt
%ALLUSERSPROFILE%\xd19h3qooj\history-shm
%ALLUSERSPROFILE%\xd19h3qooj\history
%ALLUSERSPROFILE%\xd19h3qooj\files\cookies\cookies_mozilla firefox_gn7ryp3k.default.txt
%ALLUSERSPROFILE%\xd19h3qooj\c-shm
%ALLUSERSPROFILE%\xd19h3qooj\c
%ALLUSERSPROFILE%\vcruntime140.dll
%ALLUSERSPROFILE%\softokn3.dll
%ALLUSERSPROFILE%\nss3.dll
%ALLUSERSPROFILE%\msvcp140.dll
%ALLUSERSPROFILE%\mozglue.dll
%ALLUSERSPROFILE%\freebl3.dll
%TEMP%\d70f.exe
%TEMP%\b25e.exe
%LOCALAPPDATA%\8fd8433a-5a93-4d1a-9eb4-1f77b660abf6\9eae.exe
%TEMP%\9eae.exe
%APPDATA%\bcwhiua
%LOCALAPPDATA%\5f2a5fdc-8546-405a-80e9-60d7f5e49c46\5.exe
%ALLUSERSPROFILE%\xd19h3qooj\files\cookie_list.txt

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Самоудаляется.

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://37.##.127.236/2.php
http://ps##ent.com/freebl3.dll
http://ps##ent.com/mozglue.dll
http://ps##ent.com/msvcp140.dll
http://ps##ent.com/nss3.dll
http://ps##ent.com/softokn3.dll
http://ps##ent.com/vcruntime140.dll
http://wi###anld.com/download/006.exe
http://qp##.top/nddddhsspen6/get.php?pi#############################################
http://qp##.top/files/penelop/updatewin1.exe
http://qp##.top/files/penelop/updatewin2.exe
http://qp##.top/files/penelop/updatewin.exe
http://qp##.top/files/penelop/3.exe
http://qp##.top/files/penelop/4.exe
http://qp##.top/files/penelop/5.exe

Запросы HTTP POST

'ap#.2ip.ua':443

'bi###cket.org':443

'ko###ames.com':443

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\9eae.exe'
'%TEMP%\b25e.exe'
'%TEMP%\9eae.exe' --Admin IsNotAutoStart IsNotTask
'%TEMP%\d70f.exe'
'%LOCALAPPDATA%\5f2a5fdc-8546-405a-80e9-60d7f5e49c46\updatewin1.exe'
'%TEMP%\f00.exe'
'%LOCALAPPDATA%\5f2a5fdc-8546-405a-80e9-60d7f5e49c46\updatewin2.exe'
'%LOCALAPPDATA%\5f2a5fdc-8546-405a-80e9-60d7f5e49c46\5.exe'
'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\8fd8433a-5a93-4d1a-9eb4-1f77b660abf6" /deny *S-1-1-0:(OI)(CI)(DE,DC)' (со скрытым окном)

Запускает на исполнение