Trojan.Siggen12.9273

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rootriels84920_small.exe
%TEMP%\tmp2096.tmp
%TEMP%\tmp2097.tmp
%TEMP%\tmp2098.tmp
%TEMP%\tmp20a8.tmp
%TEMP%\tmp20a9.tmp
%TEMP%\tmp20aa.tmp
%TEMP%\tmp20ab.tmp
%TEMP%\tmp20bc.tmp
%TEMP%\tmp20bd.tmp
%TEMP%\tmp20f9.tmp
%TEMP%\tmp20be.tmp
%TEMP%\tmp20c0.tmp
%TEMP%\tmp20d0.tmp
%TEMP%\tmp20d1.tmp
%TEMP%\tmp20d2.tmp
%TEMP%\tmp20e3.tmp
%TEMP%\tmp20e4.tmp
%TEMP%\tmp20e5.tmp
%TEMP%\tmp20e6.tmp
%TEMP%\tmp20e7.tmp
%TEMP%\tmp2094.tmp
%TEMP%\tmp2095.tmp
%TEMP%\tmp20bf.tmp
%TEMP%\tmp20e8.tmp
%TEMP%\tmp2081.tmp
%TEMP%\tmp2030.tmp
%TEMP%\tmp2031.tmp
%TEMP%\tmp2032.tmp
%TEMP%\tmp2033.tmp
%TEMP%\tmp2043.tmp
%TEMP%\tmp2044.tmp
%TEMP%\tmp2045.tmp
%TEMP%\tmp2046.tmp
%TEMP%\tmp2057.tmp
%TEMP%\tmp2058.tmp
%TEMP%\tmp2059.tmp
%TEMP%\tmp205a.tmp
%TEMP%\tmp205b.tmp
%TEMP%\tmp206b.tmp
%TEMP%\tmp206c.tmp
%TEMP%\tmp206d.tmp
%TEMP%\tmp206e.tmp
%TEMP%\tmp207f.tmp
%TEMP%\tmp2080.tmp
%TEMP%\tmp2082.tmp
%TEMP%\tmp1fef.tmp
%TEMP%\tmp2093.tmp
%TEMP%\tmpdb4.tmp
%TEMP%\tmp20fa.tmp
%TEMP%\tmp2164.tmp
%TEMP%\tmp2166.tmp
%TEMP%\tmp2167.tmp
%TEMP%\tmp2168.tmp
%TEMP%\tmp2178.tmp
%TEMP%\tmp2179.tmp
%TEMP%\tmp217a.tmp
%TEMP%\tmp217b.tmp
%TEMP%\tmp217c.tmp
%TEMP%\tmp218d.tmp
%TEMP%\tmp20fb.tmp
%TEMP%\tmp218e.tmp
%TEMP%\tmp2190.tmp
%TEMP%\tmp2191.tmp
%TEMP%\tmp2192.tmp
%TEMP%\tmp2193.tmp
%TEMP%\tmp21a3.tmp
%TEMP%\tmp21a4.tmp
%TEMP%\tmp21a5.tmp
%TEMP%\tmp21b6.tmp
%TEMP%\tmp2163.tmp
%TEMP%\tmp2152.tmp
%TEMP%\tmp2165.tmp
%TEMP%\tmp2151.tmp
%TEMP%\tmp2150.tmp
%TEMP%\tmp20fc.tmp
%TEMP%\tmp210d.tmp
%TEMP%\tmp210e.tmp
%TEMP%\tmp210f.tmp
%TEMP%\tmp2110.tmp
%TEMP%\tmp2111.tmp
%TEMP%\tmp2112.tmp
%TEMP%\tmp2123.tmp
%TEMP%\tmp2124.tmp
%TEMP%\tmp1fdf.tmp
%TEMP%\tmp2125.tmp
%TEMP%\tmp2000.tmp
%TEMP%\tmp2127.tmp
%TEMP%\tmp2138.tmp
%TEMP%\tmp2139.tmp
%TEMP%\tmp213a.tmp
%TEMP%\tmp213b.tmp
%TEMP%\tmp213c.tmp
%TEMP%\tmp214d.tmp
%TEMP%\tmp214e.tmp
%TEMP%\tmp214f.tmp
%TEMP%\tmp2126.tmp
%TEMP%\tmp20fd.tmp
%TEMP%\tmp2137.tmp
%TEMP%\tmpe76.tmp
%TEMP%\tmpe75.tmp
%TEMP%\tmpe65.tmp
%TEMP%\tmpd25.tmp
%TEMP%\tmpd36.tmp
%TEMP%\tmpd37.tmp
%TEMP%\tmpd38.tmp
%TEMP%\tmpd39.tmp
%TEMP%\tmpd3a.tmp
%TEMP%\tmpd4a.tmp
%TEMP%\tmpd4b.tmp
%TEMP%\tmpd4c.tmp
%TEMP%\tmpd4d.tmp
%TEMP%\tmpd4e.tmp
%TEMP%\tmpd5f.tmp
%TEMP%\tmpd60.tmp
%TEMP%\tmpd61.tmp
%TEMP%\tmpd72.tmp
%TEMP%\tmpd73.tmp
%TEMP%\tmpd74.tmp
%TEMP%\tmpd75.tmp
%TEMP%\tmpd76.tmp
%TEMP%\tmpd22.tmp
%TEMP%\tmpd11.tmp
%TEMP%\tmpd24.tmp
%TEMP%\tmpd21.tmp
%TEMP%\tmpd10.tmp
%TEMP%\tmpcd6.tmp
%TEMP%\tmpc8d.tmp
%TEMP%\tmpc8e.tmp
%TEMP%\tmpcbe.tmp
%TEMP%\tmpcbf.tmp
%TEMP%\tmpcc0.tmp
%TEMP%\tmpcc1.tmp
%TEMP%\tmpcd2.tmp
%TEMP%\tmpcd3.tmp
%TEMP%\tmpcd4.tmp
%TEMP%\tmpd77.tmp
%TEMP%\tmp21c7.tmp
%TEMP%\tmpcd5.tmp
%TEMP%\tmpce7.tmp
%TEMP%\tmpce8.tmp
%TEMP%\tmpcf9.tmp
%TEMP%\tmpcfa.tmp
%TEMP%\tmpcfb.tmp
%TEMP%\tmpcfc.tmp
%TEMP%\tmpd0d.tmp
%TEMP%\tmpd0e.tmp
%TEMP%\tmpd0f.tmp
%TEMP%\rootriels84920.exe
%TEMP%\tmpce6.tmp
%TEMP%\tmp218f.tmp
%TEMP%\tmpd87.tmp
%TEMP%\tmpd9b.tmp
%TEMP%\tmpdf4.tmp
%TEMP%\tmpdf5.tmp
%TEMP%\tmpe06.tmp
%TEMP%\tmpe07.tmp
%TEMP%\tmpe08.tmp
%TEMP%\tmpe09.tmp
%TEMP%\tmpe0a.tmp
%TEMP%\tmpe2a.tmp
%TEMP%\tmpd23.tmp
%TEMP%\tmpe2b.tmp
%TEMP%\tmpe2d.tmp
%TEMP%\tmpe3e.tmp
%TEMP%\tmpe3f.tmp
%TEMP%\tmpe40.tmp
%TEMP%\tmpe41.tmp
%TEMP%\tmpe42.tmp
%TEMP%\tmpe52.tmp
%TEMP%\tmpe53.tmp
%TEMP%\tmpe54.tmp
%TEMP%\tmpdf1.tmp
%TEMP%\tmpe2c.tmp
%TEMP%\tmpdf3.tmp
%TEMP%\tmpdf2.tmp
%TEMP%\tmpdf0.tmp
%TEMP%\tmpde0.tmp
%TEMP%\tmpd9c.tmp
%TEMP%\tmpd9d.tmp
%TEMP%\tmpd9e.tmp
%TEMP%\tmpd9f.tmp
%TEMP%\tmpda0.tmp
%TEMP%\tmpdb0.tmp
%TEMP%\tmpdb1.tmp
%TEMP%\tmpdb2.tmp
%TEMP%\tmpd88.tmp
%TEMP%\tmpdb3.tmp
%TEMP%\tmpd89.tmp
%TEMP%\tmpdc5.tmp
%TEMP%\tmpdc7.tmp
%TEMP%\tmpdc8.tmp
%TEMP%\tmpdc9.tmp
%TEMP%\tmpdca.tmp
%TEMP%\tmpddb.tmp
%TEMP%\tmpddc.tmp
%TEMP%\tmpddd.tmp
%TEMP%\tmpdde.tmp
%TEMP%\tmpd8a.tmp
%TEMP%\tmpddf.tmp
%TEMP%\tmpdc6.tmp
%TEMP%\tmp21c8.tmp

Удаляет следующие файлы

%TEMP%\tmpc8e.tmp
%TEMP%\tmp20fa.tmp
%TEMP%\tmp20e8.tmp
%TEMP%\tmp20e6.tmp
%TEMP%\tmp20e4.tmp
%TEMP%\tmp20d2.tmp
%TEMP%\tmp20d0.tmp
%TEMP%\tmp20bf.tmp
%TEMP%\tmp20bd.tmp
%TEMP%\tmp20ab.tmp
%TEMP%\tmp20a9.tmp
%TEMP%\tmp2030.tmp
%TEMP%\tmp2098.tmp
%TEMP%\tmp2094.tmp
%TEMP%\tmp2082.tmp
%TEMP%\tmp2080.tmp
%TEMP%\tmp206e.tmp
%TEMP%\tmp206c.tmp
%TEMP%\tmp205b.tmp
%TEMP%\tmp2059.tmp
%TEMP%\tmp2057.tmp
%TEMP%\tmp2045.tmp
%TEMP%\tmp2043.tmp
%TEMP%\tmp2096.tmp
%TEMP%\tmp2032.tmp
%TEMP%\tmp20fc.tmp
%TEMP%\tmp2164.tmp
%TEMP%\tmp21b6.tmp
%TEMP%\tmp21a5.tmp
%TEMP%\tmp21a4.tmp
%TEMP%\tmp2193.tmp
%TEMP%\tmp2191.tmp
%TEMP%\tmp218f.tmp
%TEMP%\tmp218d.tmp
%TEMP%\tmp217b.tmp
%TEMP%\tmp2179.tmp
%TEMP%\tmp2168.tmp
%TEMP%\tmp210f.tmp
%TEMP%\tmp210d.tmp
%TEMP%\tmp2152.tmp
%TEMP%\tmp2150.tmp
%TEMP%\tmp214e.tmp
%TEMP%\tmp213c.tmp
%TEMP%\tmp213a.tmp
%TEMP%\tmp2138.tmp
%TEMP%\tmp2127.tmp
%TEMP%\tmp2125.tmp
%TEMP%\tmp2123.tmp
%TEMP%\tmp2111.tmp
%TEMP%\tmp2166.tmp
%TEMP%\tmp1fef.tmp
%TEMP%\tmpe76.tmp
%TEMP%\tmpe75.tmp
%TEMP%\tmpd74.tmp
%TEMP%\tmpd72.tmp
%TEMP%\tmpd60.tmp
%TEMP%\tmpd4e.tmp
%TEMP%\tmpd4c.tmp
%TEMP%\tmpd4a.tmp
%TEMP%\tmpd39.tmp
%TEMP%\tmpd37.tmp
%TEMP%\tmpd25.tmp
%TEMP%\tmpd87.tmp
%TEMP%\tmpd23.tmp
%TEMP%\tmpd10.tmp
%TEMP%\tmpd0e.tmp
%TEMP%\tmpcfc.tmp
%TEMP%\tmpcfa.tmp
%TEMP%\tmpce8.tmp
%TEMP%\tmpce6.tmp
%TEMP%\tmpcd5.tmp
%TEMP%\tmpcd3.tmp
%TEMP%\tmpcc1.tmp
%TEMP%\tmpcbf.tmp
%TEMP%\tmpd21.tmp
%TEMP%\tmpd89.tmp
%TEMP%\tmpd76.tmp
%TEMP%\tmpd9b.tmp
%TEMP%\tmpe65.tmp
%TEMP%\tmpdf3.tmp
%TEMP%\tmpe54.tmp
%TEMP%\tmpe53.tmp
%TEMP%\tmpe42.tmp
%TEMP%\tmpe40.tmp
%TEMP%\tmpe3e.tmp
%TEMP%\tmpe2c.tmp
%TEMP%\tmpe2a.tmp
%TEMP%\tmpe09.tmp
%TEMP%\tmpe07.tmp
%TEMP%\tmpdf5.tmp
%TEMP%\tmpdf1.tmp
%TEMP%\tmpd9d.tmp
%TEMP%\tmpde0.tmp
%TEMP%\tmpdde.tmp
%TEMP%\tmpddc.tmp
%TEMP%\tmpdca.tmp
%TEMP%\tmpdc8.tmp
%TEMP%\tmpdc6.tmp
%TEMP%\tmpdb4.tmp
%TEMP%\tmpdb2.tmp
%TEMP%\tmpdb0.tmp
%TEMP%\tmpd9f.tmp
%TEMP%\tmp21c7.tmp
%TEMP%\tmp21c8.tmp

Сетевая активность

Подключается к

'ip###ger.org':443
'microsoft.com':80
'ip###ger.com':443
't1#.##lganfor.ru':443
'op.#ldov.ru':443
'ap#.ip.sb':443
'wh###.iana.org':43
'WH###.RIPE.NET':43
'18#.#50.148.148':3414

TCP

Запросы HTTP GET

http://pu###ad.info/stats.php?co##########
http://pu###ad.info/users/content/id03084901/mmow.txt
http://pu###ad.info/function/v2tmp/momomoomomom.php
http://pu###ad.info/users/content/id48934920847/eustelopo.txt
http://pu###ad.info/function/v2tmp/eueueuueueue.php

Запросы HTTP POST

http://ne#####ek-today.info/
http://18#.###.148.148:3414/ via 18#.#50.148.148

'ip###ger.org':443

't1#.##lganfor.ru':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK pu###ad.info
DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK ip###ger.com
DNS ASK t1#.##lganfor.ru
DNS ASK op.#ldov.ru
DNS ASK ne#####ek-today.info
DNS ASK ap#.ip.sb
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Создает и запускает на исполнение

'%TEMP%\rootriels84920_small.exe'
'%TEMP%\rootriels84920.exe'

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней