Trojan.Siggen11.41247

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmpb911.tmp
%TEMP%\tmpbad0.tmp
%TEMP%\tmpbacf.tmp
%TEMP%\tmpbabe.tmp
%TEMP%\tmpbabd.tmp
%TEMP%\tmpbabc.tmp
%TEMP%\tmpbabb.tmp
%TEMP%\tmpbaba.tmp
%TEMP%\tmpbaaa.tmp
%TEMP%\tmpbaa9.tmp
%TEMP%\tmpbaa8.tmp
%TEMP%\tmpbaa7.tmp
%TEMP%\tmpbaa6.tmp
%TEMP%\tmpbaa5.tmp
%TEMP%\tmpba94.tmp
%TEMP%\tmpba93.tmp
%TEMP%\tmpba92.tmp
%TEMP%\tmpba91.tmp
%TEMP%\tmpba80.tmp
%TEMP%\tmpba7f.tmp
%TEMP%\tmpba7e.tmp
%TEMP%\tmpba7d.tmp
%TEMP%\tmpbad1.tmp
%TEMP%\tmpbad2.tmp
%TEMP%\tmpbad3.tmp
%TEMP%\tmpbad4.tmp
%TEMP%\tmpbb57.tmp
%TEMP%\tmpbb37.tmp
%TEMP%\tmpbb26.tmp
%TEMP%\tmpbb25.tmp
%TEMP%\tmpbb24.tmp
%TEMP%\tmpbb23.tmp
%TEMP%\tmpbb22.tmp
%TEMP%\tmpbb12.tmp
%TEMP%\tmpbb11.tmp
%TEMP%\tmpbb10.tmp
%TEMP%\tmpbafe.tmp
%TEMP%\tmpbaff.tmp
%TEMP%\tmpbafd.tmp
%TEMP%\tmpbafc.tmp
%TEMP%\tmpbafb.tmp
%TEMP%\tmpbaea.tmp
%TEMP%\tmpbae9.tmp
%TEMP%\tmpbae8.tmp
%TEMP%\tmpbae7.tmp
%TEMP%\tmpbae6.tmp
%TEMP%\tmpbae5.tmp
%TEMP%\tmpbad5.tmp
%TEMP%\tmpbb58.tmp
%TEMP%\tmpba7c.tmp
%TEMP%\tmpba7b.tmp
%TEMP%\tmpba6b.tmp
%TEMP%\tmpb9e2.tmp
%TEMP%\tmpb9d1.tmp
%TEMP%\tmpb9d0.tmp
%TEMP%\tmpb9cf.tmp
%TEMP%\tmpb9be.tmp
%TEMP%\tmpb9bd.tmp
%TEMP%\tmpb9bc.tmp
%TEMP%\tmpb9bb.tmp
%TEMP%\tmpb9ba.tmp
%TEMP%\tmpb9aa.tmp
%TEMP%\tmpb999.tmp
%TEMP%\tmpb998.tmp
%TEMP%\tmpb997.tmp
%TEMP%\tmpb987.tmp
%TEMP%\tmpb986.tmp
%TEMP%\tmpb985.tmp
%TEMP%\tmpb974.tmp
%TEMP%\tmpb973.tmp
%TEMP%\tmpb972.tmp
%TEMP%\tmpb961.tmp
%TEMP%\tmpb912.tmp
%TEMP%\tmpb9e3.tmp
%TEMP%\tmpb9e4.tmp
%TEMP%\tmpb9f4.tmp
%TEMP%\tmpb9f5.tmp
%TEMP%\tmpba69.tmp
%TEMP%\tmpba58.tmp
%TEMP%\tmpba57.tmp
%TEMP%\tmpba56.tmp
%TEMP%\tmpba55.tmp
%TEMP%\tmpba45.tmp
%TEMP%\tmpba44.tmp
%TEMP%\tmpba43.tmp
%TEMP%\tmpba42.tmp
%TEMP%\tmpba41.tmp
%TEMP%\tmpba2f.tmp
%TEMP%\tmpba30.tmp
%TEMP%\tmpba1e.tmp
%TEMP%\tmpba1d.tmp
%TEMP%\tmpba1c.tmp
%TEMP%\tmpba0c.tmp
%TEMP%\tmpba0b.tmp
%TEMP%\tmpba0a.tmp
%TEMP%\tmpb9f9.tmp
%TEMP%\tmpb9f8.tmp
%TEMP%\tmpb9f7.tmp
%TEMP%\tmpb9f6.tmp
%TEMP%\tmpba6a.tmp
nul

Удаляет следующие файлы

%TEMP%\tmpb912.tmp
%TEMP%\tmpba94.tmp
%TEMP%\tmpbaa6.tmp
%TEMP%\tmpbaa8.tmp
%TEMP%\tmpbaaa.tmp
%TEMP%\tmpbabb.tmp
%TEMP%\tmpbabd.tmp
%TEMP%\tmpbacf.tmp
%TEMP%\tmpbad1.tmp
%TEMP%\tmpbad3.tmp
%TEMP%\tmpba80.tmp
%TEMP%\tmpba92.tmp
%TEMP%\tmpbad5.tmp
%TEMP%\tmpbaea.tmp
%TEMP%\tmpbafc.tmp
%TEMP%\tmpbafe.tmp
%TEMP%\tmpbb10.tmp
%TEMP%\tmpbb12.tmp
%TEMP%\tmpbb23.tmp
%TEMP%\tmpbb25.tmp
%TEMP%\tmpbb26.tmp
%TEMP%\tmpbb37.tmp
%TEMP%\tmpbae6.tmp
%TEMP%\tmpbae8.tmp
%TEMP%\tmpba7e.tmp
%TEMP%\tmpba7c.tmp
%TEMP%\tmpba6b.tmp
%TEMP%\tmpb974.tmp
%TEMP%\tmpb986.tmp
%TEMP%\tmpb997.tmp
%TEMP%\tmpb999.tmp
%TEMP%\tmpb9ba.tmp
%TEMP%\tmpb9bc.tmp
%TEMP%\tmpb9be.tmp
%TEMP%\tmpb9d0.tmp
%TEMP%\tmpb9e2.tmp
%TEMP%\tmpb9e4.tmp
%TEMP%\tmpb972.tmp
%TEMP%\tmpb9f5.tmp
%TEMP%\tmpb9f9.tmp
%TEMP%\tmpba0b.tmp
%TEMP%\tmpba1c.tmp
%TEMP%\tmpba1e.tmp
%TEMP%\tmpba30.tmp
%TEMP%\tmpba42.tmp
%TEMP%\tmpba44.tmp
%TEMP%\tmpba55.tmp
%TEMP%\tmpba57.tmp
%TEMP%\tmpba69.tmp
%TEMP%\tmpb9f7.tmp
%TEMP%\tmpbb57.tmp
%TEMP%\tmpbb58.tmp

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/

Запросы HTTP POST

http://13#.#24.180.17/IRemotePanel

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''

Запускает на исполнение