Trojan.Siggen12.12479

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei2442\bittorent.exe.manifest
%TEMP%\tmpad10.tmp.dat
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%TEMP%\f.exe
%TEMP%\7zs81502497\2021-02-26-15-25-07_installer_pid=2996.txt
%TEMP%\7zs81502497\utorrent.dll
%TEMP%\tmpb117.tmp.dat
%TEMP%\7zs81502497\carrier.exe
%TEMP%\7zs81502497\sciter32.dll
%TEMP%\7zs81502497\ru\devlib.resources.dll
%TEMP%\7zs81502497\pt\devlib.resources.dll
%TEMP%\7zs81502497\offerservicesdk.dll
%TEMP%\7zs81502497\offerservicebll.dll
%TEMP%\7zs81502497\ninject.dll
%TEMP%\7zs81502497\newtonsoft.json.dll
%TEMP%\7zs81502497\mydownloader.extension.dll
%TEMP%\7zs81502497\shared.dll
%TEMP%\tmpb1a4.tmp.dat
%TEMP%\tmpb212.tmp.dat
%TEMP%\pwtmp\browsers\firefox\bookmarks.txt
%WINDIR%\temp\cab6e2.tmp
%TEMP%\tmpb578.tmp.dat
%TEMP%\tmpb568.tmp.dat
%TEMP%\tmpb4ea.tmp.dat
%TEMP%\pwtmp\browsers\firefox\history.txt
%TEMP%\pwtmp\browsers\opera\bookmarks.txt
%TEMP%\pwtmp\browsers\opera\history.txt
%TEMP%\pwtmp\browsers\opera\cookies.txt
%TEMP%\tmpb315.tmp.dat
%TEMP%\tmpb314.tmp.dat
%TEMP%\tmpb303.tmp.dat
%TEMP%\tmpb2a5.tmp.dat
%TEMP%\tmpb294.tmp.dat
%TEMP%\pwtmp\browsers\firefox\cookies.txt
%TEMP%\pwtmp\browsers\google\cookies.txt
%TEMP%\tmpb274.tmp.dat
%TEMP%\tmpb273.tmp.dat
%TEMP%\tmpb262.tmp.dat
%TEMP%\tmpb242.tmp.dat
%TEMP%\7zs81502497\mydownloader.core.dll
%WINDIR%\temp\tar6e3.tmp
%TEMP%\7zs81502497\it\devlib.resources.dll
%TEMP%\7zs81502497\htmlagilitypack.dll
%TEMP%\7zs81502497\resources\images\loader.gif
%TEMP%\7zs81502497\resources\finishpage.html
%TEMP%\7zs81502497\genericsetup.exe.config
%TEMP%\7zs81502497\bundleconfig.json
%TEMP%\7zs81502497\app.ico
%TEMP%\setup.exe
%TEMP%\tmpviczwq.exe
%TEMP%\7jrjdz
%TEMP%\7zs81502497\resources\images\warning48x48.png
%TEMP%\_mei2442\unicodedata.pyd
%TEMP%\_mei2442\python27.dll
%TEMP%\_mei2442\msvcr90.dll
%TEMP%\_mei2442\msvcp90.dll
%TEMP%\_mei2442\msvcm90.dll
%TEMP%\_mei2442\bz2.pyd
%TEMP%\_mei2442\_hashlib.pyd
%TEMP%\_mei2442\_ctypes.pyd
%TEMP%\_mei2442\microsoft.vc90.crt.manifest
%TEMP%\_mei2442\select.pyd
%TEMP%\7zs81502497\resources\installingpage.html
%TEMP%\7zs81502497\resources\licensepage.html
%TEMP%\7zs81502497\resources\offerpage.html
%TEMP%\7zs81502497\h2osciter.dll
%TEMP%\7zs81502497\genericsetup.exe
%TEMP%\7zs81502497\genericsetup.dll
%TEMP%\7zs81502497\fr\devlib.resources.dll
%TEMP%\7zs81502497\es\devlib.resources.dll
%TEMP%\7zs81502497\dynactsbll.dll
%TEMP%\7zs81502497\devlib.services.dll
%TEMP%\7zs81502497\devlib.dll
%TEMP%\7zs81502497\de\devlib.resources.dll
%TEMP%\7zs81502497\resources\welcomepage.html
%TEMP%\7zs81502497\resources\warningpage.html
%TEMP%\7zs81502497\resources\tis\viewstateloader.tis
%TEMP%\7zs81502497\resources\tis\translateoffertemplate.tis
%TEMP%\7zs81502497\resources\tis\log.tis
%TEMP%\7zs81502497\resources\tis\eventhandler.tis
%TEMP%\7zs81502497\resources\tis\config.tis
%TEMP%\7zs81502497\resources\style.css
%TEMP%\7zs81502497\resources\settingpage2.html
%TEMP%\7zs81502497\resources\settingpage1.html
%TEMP%\7zs81502497\installer.exe
%LOCALAPPDATA%\adaware\genericsetup.exe_url_coqo1wabfpnb4vwzmdgtrijofll2casi\1.0.3.4225\jx3dzoru.newcfg

Удаляет следующие файлы

%TEMP%\7jrjdz
%TEMP%\tmpb303.tmp.dat
%TEMP%\tmpb314.tmp.dat
%TEMP%\tmpb315.tmp.dat
%TEMP%\tmpb4ea.tmp.dat
%TEMP%\tmpb568.tmp.dat
%TEMP%\tmpb578.tmp.dat
%TEMP%\_mei2442\unicodedata.pyd
%TEMP%\f.exe
%TEMP%\pwtmp\browsers\firefox\cookies.txt
%TEMP%\pwtmp\browsers\firefox\history.txt
%TEMP%\pwtmp\browsers\google\cookies.txt
%TEMP%\pwtmp\browsers\opera\bookmarks.txt
%TEMP%\pwtmp\browsers\opera\cookies.txt
%TEMP%\pwtmp\browsers\opera\history.txt
%TEMP%\tmpb294.tmp.dat
%TEMP%\tmpb2a5.tmp.dat
%TEMP%\tmpb274.tmp.dat
%TEMP%\tmpb273.tmp.dat
%TEMP%\tmpb262.tmp.dat
%TEMP%\_mei2442\bz2.pyd
%TEMP%\_mei2442\microsoft.vc90.crt.manifest
%TEMP%\_mei2442\msvcm90.dll
%TEMP%\_mei2442\msvcp90.dll
%TEMP%\_mei2442\msvcr90.dll
%TEMP%\_mei2442\python27.dll
%WINDIR%\temp\cab6e2.tmp
%TEMP%\pwtmp\browsers\firefox\bookmarks.txt
%TEMP%\_mei2442\select.pyd
%TEMP%\_mei2442\_hashlib.pyd
%TEMP%\tmpad10.tmp.dat
%TEMP%\tmpb117.tmp.dat
%TEMP%\tmpb1a4.tmp.dat
%TEMP%\tmpb212.tmp.dat
%TEMP%\tmpb242.tmp.dat
%TEMP%\_mei2442\bittorent.exe.manifest
%TEMP%\_mei2442\_ctypes.pyd
%WINDIR%\temp\tar6e3.tmp

Перемещает следующие файлы

%LOCALAPPDATA%\adaware\genericsetup.exe_url_coqo1wabfpnb4vwzmdgtrijofll2casi\1.0.3.4225\jx3dzoru.newcfg в %LOCALAPPDATA%\adaware\genericsetup.exe_url_coqo1wabfpnb4vwzmdgtrijofll2casi\1.0.3.4225\user.config

Сетевая активность

Подключается к

'an########atis.medianewsonline.com':80
'localhost':49175
'localhost':49177
'fl##.#avasoft.com':443
'microsoft.com':80
'localhost':49184
'localhost':49186
'so#.#daware.com':443

TCP

Запросы HTTP GET

http://an########atis.medianewsonline.com/g.php?id########################

'localhost':49175

'localhost':49177

'localhost':49178

'fl##.#avasoft.com':443

'localhost':49184

'localhost':49186

'localhost':49187

'so#.#daware.com':443

UDP

DNS ASK an########atis.medianewsonline.com
DNS ASK fl##.#avasoft.com
DNS ASK microsoft.com
DNS ASK google.com
DNS ASK so#.#daware.com
DNS ASK st####.rapidssl.com

Другое

Создает и запускает на исполнение

'%TEMP%\tmpviczwq.exe'
'%TEMP%\setup.exe'
'%TEMP%\7zs81502497\installer.exe'
'%TEMP%\f.exe'
'%TEMP%\7zs81502497\genericsetup.exe' %TEMP%\7zS81502497\GenericSetup.exe hik=c857e905-fd3c-442b-a55f-46dacc1c097b hmk=01879923-fcc6-db06-8a99-aba1e66126c2 hut=Admin hpp="QzpcVXNlcnNcdXNlclxBcHBEYXRhXExvY2FsXFRlbXBcc2V0dXAuZXhl" h...
'%TEMP%\f.exe' ' (со скрытым окном)