Trojan.PWS.Siggen2.61153

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp781c.tmp
%TEMP%\tmp7ac5.tmp
%TEMP%\tmp7ab4.tmp
%TEMP%\tmp7ab3.tmp
%TEMP%\tmp7ab2.tmp
%TEMP%\tmp7ab1.tmp
%TEMP%\tmp7aa1.tmp
%TEMP%\tmp7aa0.tmp
%TEMP%\tmp7a9f.tmp
%TEMP%\tmp7a9e.tmp
%TEMP%\tmp7a9d.tmp
%TEMP%\tmp7a8c.tmp
%TEMP%\tmp7a8b.tmp
%TEMP%\tmp7a8a.tmp
%TEMP%\tmp7a89.tmp
%TEMP%\tmp7a79.tmp
%TEMP%\tmp7a78.tmp
%TEMP%\tmp7a77.tmp
%TEMP%\tmp7a76.tmp
%TEMP%\tmp7a65.tmp
%TEMP%\tmp7a64.tmp
%TEMP%\tmp7a63.tmp
%TEMP%\tmp7a51.tmp
%TEMP%\tmp7a52.tmp
%TEMP%\tmp7ac6.tmp
%TEMP%\tmp7ac7.tmp
%TEMP%\tmp7b4a.tmp
%TEMP%\tmp7b3a.tmp
%TEMP%\tmp7b29.tmp
%TEMP%\tmp7b18.tmp
%TEMP%\tmp7b17.tmp
%TEMP%\tmp7b16.tmp
%TEMP%\tmp7b15.tmp
%TEMP%\tmp7b14.tmp
%TEMP%\tmp7b04.tmp
%TEMP%\tmp7b03.tmp
%TEMP%\tmp7b01.tmp
%TEMP%\tmp79f4.tmp
%TEMP%\tmp7af0.tmp
%TEMP%\tmp7aef.tmp
%TEMP%\tmp7aee.tmp
%TEMP%\tmp7aed.tmp
%TEMP%\tmp7aec.tmp
%TEMP%\tmp7adc.tmp
%TEMP%\tmp7adb.tmp
%TEMP%\tmp7aca.tmp
%TEMP%\tmp7ac9.tmp
%TEMP%\tmp7ac8.tmp
%TEMP%\tmp7a50.tmp
%TEMP%\tmp7a4f.tmp
%TEMP%\tmp7a3f.tmp
%TEMP%\tmp7996.tmp
%TEMP%\tmp7986.tmp
%TEMP%\tmp7985.tmp
%TEMP%\tmp7984.tmp
%TEMP%\tmp7973.tmp
%TEMP%\tmp7972.tmp
%TEMP%\tmp7971.tmp
%TEMP%\tmp7961.tmp
%TEMP%\tmp7960.tmp
%TEMP%\tmp795f.tmp
%TEMP%\tmp794e.tmp
%TEMP%\tmp794d.tmp
%TEMP%\tmp793c.tmp
%TEMP%\tmp792c.tmp
%TEMP%\tmp792b.tmp
%TEMP%\tmp791a.tmp
%TEMP%\tmp790a.tmp
%TEMP%\tmp7909.tmp
%TEMP%\tmp7908.tmp
%TEMP%\tmp78c8.tmp
%TEMP%\tmp7998.tmp
%TEMP%\tmp79a9.tmp
%TEMP%\tmp7997.tmp
%TEMP%\tmp79aa.tmp
%TEMP%\tmp7a3e.tmp
%TEMP%\tmp79ab.tmp
%TEMP%\tmp7a2d.tmp
%TEMP%\tmp7a2c.tmp
%TEMP%\tmp7a2b.tmp
%TEMP%\tmp7a2a.tmp
%TEMP%\tmp7a1a.tmp
%TEMP%\tmp7a19.tmp
%TEMP%\tmp7a18.tmp
%TEMP%\tmp7a07.tmp
%TEMP%\tmp7a06.tmp
%TEMP%\tmp7b02.tmp
%TEMP%\tmp7b7a.tmp
%TEMP%\tmp79f3.tmp
%TEMP%\tmp79f2.tmp
%TEMP%\tmp79e2.tmp
%TEMP%\tmp79e1.tmp
%TEMP%\tmp79d0.tmp
%TEMP%\tmp79cf.tmp
%TEMP%\tmp79ce.tmp
%TEMP%\tmp79be.tmp
%TEMP%\tmp79bd.tmp
%TEMP%\tmp79bc.tmp
%TEMP%\tmp7a05.tmp
%TEMP%\tmp7b7b.tmp

Удаляет следующие файлы

%TEMP%\tmp78c8.tmp
%TEMP%\tmp7a79.tmp
%TEMP%\tmp7a8a.tmp
%TEMP%\tmp7a8c.tmp
%TEMP%\tmp7a9e.tmp
%TEMP%\tmp7aa0.tmp
%TEMP%\tmp7ab1.tmp
%TEMP%\tmp7ab3.tmp
%TEMP%\tmp7ac5.tmp
%TEMP%\tmp7ac7.tmp
%TEMP%\tmp7a65.tmp
%TEMP%\tmp7a77.tmp
%TEMP%\tmp7ac9.tmp
%TEMP%\tmp7aee.tmp
%TEMP%\tmp7af0.tmp
%TEMP%\tmp7b02.tmp
%TEMP%\tmp7b04.tmp
%TEMP%\tmp7b15.tmp
%TEMP%\tmp7b17.tmp
%TEMP%\tmp7b29.tmp
%TEMP%\tmp7b3a.tmp
%TEMP%\tmp7b4a.tmp
%TEMP%\tmp7adb.tmp
%TEMP%\tmp7aec.tmp
%TEMP%\tmp7a63.tmp
%TEMP%\tmp7a51.tmp
%TEMP%\tmp7a4f.tmp
%TEMP%\tmp791a.tmp
%TEMP%\tmp792c.tmp
%TEMP%\tmp794d.tmp
%TEMP%\tmp795f.tmp
%TEMP%\tmp7961.tmp
%TEMP%\tmp7972.tmp
%TEMP%\tmp7984.tmp
%TEMP%\tmp7986.tmp
%TEMP%\tmp7997.tmp
%TEMP%\tmp79a9.tmp
%TEMP%\tmp7909.tmp
%TEMP%\tmp79ab.tmp
%TEMP%\tmp79ce.tmp
%TEMP%\tmp79d0.tmp
%TEMP%\tmp79e2.tmp
%TEMP%\tmp79f3.tmp
%TEMP%\tmp7a05.tmp
%TEMP%\tmp7a07.tmp
%TEMP%\tmp7a19.tmp
%TEMP%\tmp7a2a.tmp
%TEMP%\tmp7a2c.tmp
%TEMP%\tmp7a3e.tmp
%TEMP%\tmp79bd.tmp
%TEMP%\tmp7b7a.tmp
%TEMP%\tmp7b7b.tmp

Сетевая активность

TCP

Запросы HTTP POST

http://80.##.206.118:81/ via 80.##.206.118

'ap#.ip.sb':443

'ip##fo.io':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ip##fo.io
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''