Trojan.Siggen12.16348

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windows service В© microsoft corporation

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\weeklysheet1215.doc

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\mqpqjoa5.exe
%TEMP%\tmp23ed.tmp
%TEMP%\tmp23ec.tmp
%TEMP%\tmp23db.tmp
%TEMP%\tmp23da.tmp
%TEMP%\tmp23d9.tmp
%TEMP%\tmp23c9.tmp
%TEMP%\tmp23c8.tmp
%TEMP%\tmp23c7.tmp
%TEMP%\tmp23b6.tmp
%TEMP%\tmp23b5.tmp
%TEMP%\tmp23ee.tmp
%TEMP%\tmp23a5.tmp
%TEMP%\tmp23a3.tmp
%TEMP%\tmp2392.tmp
%TEMP%\tmp2391.tmp
%TEMP%\tmp2390.tmp
%TEMP%\tmp237f.tmp
%TEMP%\tmp236f.tmp
%TEMP%\tmp236e.tmp
%TEMP%\tmp236d.tmp
%TEMP%\tmp235c.tmp
%TEMP%\tmp235b.tmp
%TEMP%\tmp23a4.tmp
%TEMP%\tmp244a.tmp
%TEMP%\tmp24c3.tmp
%TEMP%\tmp2401.tmp
%TEMP%\tmp24a3.tmp
%TEMP%\tmp2492.tmp
%TEMP%\tmp2482.tmp
%TEMP%\tmp2481.tmp
%TEMP%\tmp2470.tmp
%TEMP%\tmp246f.tmp
%TEMP%\tmp246e.tmp
%TEMP%\tmp245e.tmp
%TEMP%\tmp245d.tmp
%TEMP%\tmp245c.tmp
%TEMP%\tmp235a.tmp
%TEMP%\tmp244b.tmp
%TEMP%\tmp2449.tmp
%TEMP%\tmp2448.tmp
%TEMP%\tmp2437.tmp
%TEMP%\tmp2436.tmp
%TEMP%\tmp2426.tmp
%TEMP%\tmp2425.tmp
%TEMP%\tmp2424.tmp
%TEMP%\tmp2423.tmp
%TEMP%\tmp2412.tmp
%TEMP%\tmp2411.tmp
%TEMP%\tmp23ff.tmp
%TEMP%\tmp2400.tmp
%TEMP%\tmp2359.tmp
%TEMP%\tmp2226.tmp
%TEMP%\tmp2214.tmp
%TEMP%\tmp2203.tmp
%TEMP%\tmp2202.tmp
%TEMP%\tmp21f2.tmp
%TEMP%\tmp21f1.tmp
%TEMP%\tmp21e0.tmp
%TEMP%\tmp21df.tmp
%TEMP%\tmp21ce.tmp
%TEMP%\tmp21cd.tmp
%TEMP%\tmp21bd.tmp
%TEMP%\tmp2224.tmp
%TEMP%\tmp21bc.tmp
%TEMP%\tmp216c.tmp
%TEMP%\tmp216b.tmp
%TEMP%\tmp215a.tmp
%TEMP%\tmp2159.tmp
%TEMP%\tmp2149.tmp
%TEMP%\tmp2148.tmp
%TEMP%\tmp20e9.tmp
%TEMP%\tmp20e8.tmp
%APPDATA%\windows\rantimebroker.exe
%LOCALAPPDATA%\vhe5ktgj.exe
%TEMP%\tmp21ab.tmp
%TEMP%\tmp2280.tmp
%TEMP%\tmp2338.tmp
%TEMP%\tmp2237.tmp
%TEMP%\tmp2337.tmp
%TEMP%\tmp2317.tmp
%TEMP%\tmp2316.tmp
%TEMP%\tmp2305.tmp
%TEMP%\tmp2304.tmp
%TEMP%\tmp22f4.tmp
%TEMP%\tmp22a5.tmp
%TEMP%\tmp22a4.tmp
%TEMP%\tmp2293.tmp
%TEMP%\tmp2292.tmp
%TEMP%\tmp2349.tmp
%TEMP%\tmp2281.tmp
%TEMP%\tmp2270.tmp
%TEMP%\tmp226f.tmp
%TEMP%\tmp226e.tmp
%TEMP%\tmp225d.tmp
%TEMP%\tmp225c.tmp
%TEMP%\tmp225b.tmp
%TEMP%\tmp224b.tmp
%TEMP%\tmp224a.tmp
%TEMP%\tmp2249.tmp
%TEMP%\tmp2238.tmp
%TEMP%\tmp2225.tmp
%TEMP%\tmp24d4.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\windows\rantimebroker.exe

Удаляет следующие файлы

%TEMP%\tmp20e9.tmp
%TEMP%\tmp23a3.tmp
%TEMP%\tmp23a5.tmp
%TEMP%\tmp23b6.tmp
%TEMP%\tmp23c8.tmp
%TEMP%\tmp23d9.tmp
%TEMP%\tmp23db.tmp
%TEMP%\tmp23ed.tmp
%TEMP%\tmp23ff.tmp
%TEMP%\tmp2401.tmp
%TEMP%\tmp237f.tmp
%TEMP%\tmp2391.tmp
%TEMP%\tmp2412.tmp
%TEMP%\tmp2437.tmp
%TEMP%\tmp2449.tmp
%TEMP%\tmp244b.tmp
%TEMP%\tmp245d.tmp
%TEMP%\tmp246e.tmp
%TEMP%\tmp2470.tmp
%TEMP%\tmp2482.tmp
%TEMP%\tmp2492.tmp
%TEMP%\tmp24a3.tmp
%TEMP%\tmp2424.tmp
%TEMP%\tmp2426.tmp
%TEMP%\tmp236e.tmp
%TEMP%\tmp235c.tmp
%TEMP%\tmp235a.tmp
%TEMP%\tmp215a.tmp
%TEMP%\tmp216c.tmp
%TEMP%\tmp21bc.tmp
%TEMP%\tmp21cd.tmp
%TEMP%\tmp21df.tmp
%TEMP%\tmp21f1.tmp
%TEMP%\tmp2202.tmp
%TEMP%\tmp2214.tmp
%TEMP%\tmp2225.tmp
%TEMP%\tmp2237.tmp
%TEMP%\tmp2149.tmp
%TEMP%\tmp2249.tmp
%TEMP%\tmp225c.tmp
%TEMP%\tmp226e.tmp
%TEMP%\tmp2270.tmp
%TEMP%\tmp2281.tmp
%TEMP%\tmp2293.tmp
%TEMP%\tmp22a5.tmp
%TEMP%\tmp2304.tmp
%TEMP%\tmp2316.tmp
%TEMP%\tmp2337.tmp
%TEMP%\tmp2349.tmp
%TEMP%\tmp224b.tmp
%TEMP%\tmp24c3.tmp
%TEMP%\tmp24d4.tmp

Сетевая активность

Подключается к

'ip###ger.org':443
'microsoft.com':80
'pa###bin.com':443
'19#.2.84.91':80
'87.##1.71.75':3214
'ap#.ip.sb':443
'wh###.iana.org':43
'WH###.RIPE.NET':43

TCP

Запросы HTTP POST

http://87.###.71.75:3214/ via 87.##1.71.75

'ip###ger.org':443

'pa###bin.com':443

'bl##.#gencia10x.com':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK pa###bin.com
DNS ASK bl##.#gencia10x.com
DNS ASK ap#.ip.sb
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: 'Task Manager'
ClassName: '' WindowName: 'Диспетчер задач'
ClassName: '' WindowName: 'AnVir Task Manager'

Создает и запускает на исполнение

'%LOCALAPPDATA%\mqpqjoa5.exe'
'%LOCALAPPDATA%\vhe5ktgj.exe'
'%APPDATA%\windows\rantimebroker.exe'
'%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "Windows Service В© Microsoft Corporation" /tr "%APPDATA%\Windows\RantimeBroker.exe" /f' (со скрытым окном)
'%APPDATA%\windows\rantimebroker.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "Windows Service В© Microsoft Corporation" /tr "%APPDATA%\Windows\RantimeBroker.exe" /f
'<SYSTEM32>\taskeng.exe' {ECEFD118-798D-48E0-97CA-596939A9AABD} S-1-5-21-1960123792-2022915161-3775307078-1001:mnewszgl\user:Interactive:[1]