Trojan.Siggen12.19452

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\nvngxupdatecheckdaily_{78821544-1544-1544-1544-788215441544}

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

следующие пользовательские процессы:

iexplore.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль wininet.dll
Процесс firefox.exe, модуль nss3.dll

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Martin Prikryl]
[<HKLM>\Software\Wow6432Node\Martin Prikryl]

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\mozilla\firefox\profiles.ini
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\508softwareandos.doc
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%ProgramFiles(x86)%\steam\config\config.vdf
%APPDATA%\thunderbird\profiles.ini
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\4dd3.tmp
%TEMP%\tmpdfe.tmp
%TEMP%\tmpe0f.tmp
%TEMP%\tmpe10.tmp
%TEMP%\tmpe21.tmp
%TEMP%\tmpe22.tmp
%TEMP%\tmpe23.tmp
%TEMP%\tmpe33.tmp
%TEMP%\tmpe34.tmp
%TEMP%\tmpe45.tmp
%TEMP%\tmpe55.tmp
%TEMP%\tmpe56.tmp
%TEMP%\tmpe67.tmp
%TEMP%\tmpe68.tmp
%TEMP%\tmpe69.tmp
%TEMP%\tmpe89.tmp
%TEMP%\tmpe8a.tmp
%TEMP%\tmpf12.tmp
%TEMP%\tmpf13.tmp
%TEMP%\tmpeba.tmp
%TEMP%\tmpf38.tmp
%TEMP%\tmpf87.tmp
%TEMP%\tmpf88.tmp
%TEMP%\tmpf98.tmp
%TEMP%\tmpf99.tmp
%TEMP%\tmpfaa.tmp
%TEMP%\tmpfab.tmp
%TEMP%\tmpfbc.tmp
%TEMP%\tmpd33.tmp
%TEMP%\tmpfcc.tmp
%TEMP%\tmpd32.tmp
%TEMP%\tmpd20.tmp
%TEMP%\tmpc6b.tmp
%TEMP%\tmpc7c.tmp
%TEMP%\tmpc7d.tmp
%TEMP%\tmpc7e.tmp
%TEMP%\tmpc8f.tmp
%TEMP%\tmpc90.tmp
%TEMP%\tmpc91.tmp
%TEMP%\tmpca1.tmp
%TEMP%\tmpca2.tmp
%TEMP%\tmpcb3.tmp
%TEMP%\tmpcb4.tmp
%TEMP%\tmpcb5.tmp
%TEMP%\tmpcc5.tmp
%TEMP%\tmpcc6.tmp
%TEMP%\tmpcc7.tmp
%TEMP%\tmpce8.tmp
%TEMP%\tmpce9.tmp
%TEMP%\tmpd09.tmp
%TEMP%\tmpd29.tmp
%TEMP%\tmpd2a.tmp
%TEMP%\tmpd2b.tmp
%TEMP%\tmpd3c.tmp
%TEMP%\tmpd4c.tmp
%TEMP%\tmpcfd.tmp
%TEMP%\tmpd0d.tmp
%TEMP%\tmpd0e.tmp
%TEMP%\tmpd0f.tmp
%TEMP%\tmpd21.tmp
%TEMP%\tmpfcd.tmp
%TEMP%\tmpfce.tmp
%TEMP%\tmpfee.tmp
%TEMP%\tmp110a.tmp
%TEMP%\tmp110b.tmp
%TEMP%\tmp110c.tmp
%TEMP%\tmp111d.tmp
%TEMP%\tmp111e.tmp
%TEMP%\tmp111f.tmp
%TEMP%\tmp1120.tmp
%TEMP%\tmp1130.tmp
%TEMP%\tmp1131.tmp
%TEMP%\tmp1132.tmp
%TEMP%\tmp1143.tmp
%TEMP%\tmp1144.tmp
%TEMP%\tmp11df.tmp
%TEMP%\tmp1145.tmp
%TEMP%\tmp1156.tmp
%TEMP%\tmp1157.tmp
%TEMP%\tmp1178.tmp
%TEMP%\tmp1179.tmp
%TEMP%\tmp1189.tmp
%TEMP%\tmp118a.tmp
%TEMP%\tmp118b.tmp
%TEMP%\tmp119c.tmp
%TEMP%\tmp119d.tmp
%TEMP%\tmp119e.tmp
%TEMP%\tmp11ae.tmp
%TEMP%\tmp11bf.tmp
%TEMP%\tmp10f8.tmp
%TEMP%\tmp10f9.tmp
%TEMP%\tmp10f7.tmp
%TEMP%\tmp10f6.tmp
%TEMP%\tmp10d6.tmp
%TEMP%\tmp1000.tmp
%TEMP%\tmp1001.tmp
%TEMP%\tmp1012.tmp
%TEMP%\tmp1013.tmp
%TEMP%\tmp1023.tmp
%TEMP%\tmp1034.tmp
%TEMP%\tmp1035.tmp
%TEMP%\tmp1045.tmp
%TEMP%\tmp1046.tmp
%TEMP%\tmp1047.tmp
%TEMP%\tmp1058.tmp
%TEMP%\tmp1059.tmp
%TEMP%\tmpc6a.tmp
%TEMP%\tmp107a.tmp
%TEMP%\tmp105a.tmp
%TEMP%\tmp107c.tmp
%TEMP%\tmp107d.tmp
%TEMP%\tmp108e.tmp
%TEMP%\tmp108f.tmp
%TEMP%\tmp109f.tmp
%TEMP%\tmp10a0.tmp
%TEMP%\tmp10b1.tmp
%TEMP%\tmp10b2.tmp
%TEMP%\tmp10b3.tmp
%TEMP%\tmp10c4.tmp
%TEMP%\tmp10c5.tmp
%TEMP%\tmp10c6.tmp
%TEMP%\tmpfef.tmp
%TEMP%\tmp107b.tmp
%TEMP%\tmp1155.tmp
%TEMP%\tmpc69.tmp
%TEMP%\tmpbed.tmp
%TEMP%\ce65.tmp
%TEMP%\ce65.tmp-shm
%TEMP%\cea5.tmp
%TEMP%\e33f.tmp
%TEMP%\e34f.tmp
%TEMP%\e36f.tmp
%TEMP%\e370.tmp
%TEMP%\e41d.tmp
%TEMP%\e42e.tmp
%TEMP%\e44e.tmp
%TEMP%\e44f.tmp
%TEMP%\e45f.tmp
%TEMP%\e470.tmp
%TEMP%\e471.tmp
%TEMP%\e482.tmp
%TEMP%\e492.tmp
%TEMP%\e492.tmp-shm
%TEMP%\tmp991.tmp
%TEMP%\tmp9a2.tmp
%TEMP%\tmp9ef.tmp
%TEMP%\tmpa1f.tmp
%TEMP%\tmpa30.tmp
%TEMP%\tmpa31.tmp
%TEMP%\tmpa32.tmp
%TEMP%\tmpa43.tmp
%TEMP%\tmpa44.tmp
%TEMP%\tmpa54.tmp
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\tmpa65.tmp
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\grvthrr
%APPDATA%\udgabab
%TEMP%\14f6.tmp.exe
%TEMP%\1e98.tmp.exe
%TEMP%\32a6.tmp.exe
%TEMP%\43d6.tmp.exe
%TEMP%\54d7.tmp.exe
%LOCALAPPDATA%\ypm610naatqvk0zapsgfsyot5rcz3qqn
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\manifest.json
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\_locales\en\messages.json
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\_locales\ru\messages.json
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\images\128x128.png
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\images\48x48-gray.png
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\images\48x48.png
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\images\toolbaricon\48x48.png
%APPDATA%\opera software\opera stable\extensions\ghcpiejfmpghjjakpmddljbcimkedpil\10.1.1.2_0\bg.js
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\manifest.json
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\_locales\en\messages.json
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\_locales\ru\messages.json
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\images\128x128.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\images\48x48-gray.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\images\48x48.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\images\toolbaricon\48x48.png
%LOCALAPPDATA%\google\chrome\user data\default\extensions\mcakbnfljhieicamnobgoejcgolejmol\10.1.1.2_0\bg.js
%TEMP%\66a3.tmp.exe
%TEMP%\7969.tmp.exe
%TEMP%\8eed.tmp.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\tmpa66.tmp
%TEMP%\tmpa67.tmp
%TEMP%\tmpa77.tmp
%TEMP%\tmpb92.tmp
%TEMP%\tmpb93.tmp
%TEMP%\tmpb94.tmp
%TEMP%\tmpba5.tmp
%TEMP%\tmpba6.tmp
%TEMP%\tmpba7.tmp
%TEMP%\tmpbb7.tmp
%TEMP%\tmpbb8.tmp
%TEMP%\tmpbc9.tmp
%TEMP%\tmpbca.tmp
%TEMP%\tmpbda.tmp
%TEMP%\tmpbeb.tmp
%TEMP%\tmpc48.tmp
%TEMP%\tmpbec.tmp
%TEMP%\tmpbfe.tmp
%TEMP%\tmpbff.tmp
%TEMP%\tmpc0f.tmp
%TEMP%\tmpc10.tmp
%TEMP%\tmpc11.tmp
%TEMP%\tmpc22.tmp
%TEMP%\tmpc23.tmp
%TEMP%\tmpc33.tmp
%TEMP%\tmpc34.tmp
%TEMP%\tmpc35.tmp
%TEMP%\tmpc46.tmp
%TEMP%\tmpc47.tmp
%TEMP%\tmpb81.tmp
%TEMP%\tmpa7c.tmp
%TEMP%\tmpb71.tmp
%TEMP%\tmpb70.tmp
%TEMP%\tmpb5f.tmp
%TEMP%\tmpa89.tmp
%TEMP%\tmpa8a.tmp
%TEMP%\tmpa9b.tmp
%TEMP%\tmpa9c.tmp
%TEMP%\tmpaac.tmp
%TEMP%\tmpaad.tmp
%TEMP%\tmpaae.tmp
%TEMP%\tmpabf.tmp
%TEMP%\tmpac0.tmp
%TEMP%\tmpae0.tmp
%TEMP%\tmpae1.tmp
%TEMP%\tmpaf2.tmp
%TEMP%\tmpc59.tmp
%TEMP%\tmpaf4.tmp
%TEMP%\tmpaf3.tmp
%TEMP%\tmpb05.tmp
%TEMP%\tmpb06.tmp
%TEMP%\tmpb17.tmp
%TEMP%\tmpb18.tmp
%TEMP%\tmpb19.tmp
%TEMP%\tmpb29.tmp
%TEMP%\tmpb2a.tmp
%TEMP%\tmpb3b.tmp
%TEMP%\tmpb3c.tmp
%TEMP%\tmpb3d.tmp
%TEMP%\tmpb4e.tmp
%TEMP%\tmpb4f.tmp
%TEMP%\tmpa78.tmp
%TEMP%\tmpaf5.tmp
%TEMP%\tmp11e0.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\grvthrr
%APPDATA%\udgabab

Удаляет следующие файлы

%LOCALAPPDATA%\ypm610naatqvk0zapsgfsyot5rcz3qqn
%TEMP%\tmpfce.tmp
%TEMP%\tmpfcc.tmp
%TEMP%\tmpfab.tmp
%TEMP%\tmpf99.tmp
%TEMP%\tmpf88.tmp
%TEMP%\tmpf38.tmp
%TEMP%\tmpf13.tmp
%TEMP%\tmpf12.tmp
%TEMP%\tmpe8a.tmp
%TEMP%\tmpd4c.tmp
%TEMP%\tmpe69.tmp
%TEMP%\tmpe67.tmp
%TEMP%\tmp1001.tmp
%TEMP%\tmpfef.tmp
%TEMP%\tmpe23.tmp
%TEMP%\tmpe21.tmp
%TEMP%\tmpe0f.tmp
%TEMP%\tmpd33.tmp
%TEMP%\tmpd21.tmp
%TEMP%\tmpd0f.tmp
%TEMP%\tmpd0d.tmp
%TEMP%\tmpa7c.tmp
%TEMP%\tmpd3c.tmp
%TEMP%\tmpd2b.tmp
%TEMP%\tmpd29.tmp
%TEMP%\tmpce9.tmp
%TEMP%\tmpe55.tmp
%TEMP%\tmpaf2.tmp
%TEMP%\tmp1013.tmp
%TEMP%\tmp11bf.tmp
%TEMP%\tmp11ae.tmp
%TEMP%\tmp119e.tmp
%TEMP%\tmp119c.tmp
%TEMP%\tmp118a.tmp
%TEMP%\tmp1179.tmp
%TEMP%\tmp1157.tmp
%TEMP%\tmp1155.tmp
%TEMP%\tmp1144.tmp
%TEMP%\tmp1132.tmp
%TEMP%\tmp1130.tmp
%TEMP%\tmp111f.tmp
%TEMP%\tmp111d.tmp
%TEMP%\tmp110b.tmp
%TEMP%\tmp10f9.tmp
%TEMP%\tmp10f7.tmp
%TEMP%\tmp10d6.tmp
%TEMP%\tmp10c5.tmp
%TEMP%\tmp10b3.tmp
%TEMP%\tmp10b1.tmp
%TEMP%\tmp109f.tmp
%TEMP%\tmp108e.tmp
%TEMP%\tmp107c.tmp
%TEMP%\tmp107a.tmp
%TEMP%\tmp1059.tmp
%TEMP%\tmp1047.tmp
%TEMP%\tmp1045.tmp
%TEMP%\tmpcc7.tmp
%TEMP%\tmpe34.tmp
%TEMP%\tmpcc5.tmp
%TEMP%\tmpcb4.tmp
%TEMP%\tmpca2.tmp
%TEMP%\e471.tmp
%TEMP%\tmpa9c.tmp
%TEMP%\tmpa8a.tmp
%TEMP%\tmpa78.tmp
%TEMP%\tmpa67.tmp
%TEMP%\tmpa65.tmp
%TEMP%\tmpa44.tmp
%TEMP%\tmpa32.tmp
%TEMP%\tmpa30.tmp
%TEMP%\tmp9a2.tmp
%TEMP%\e492.tmp
%TEMP%\e492.tmp-shm
%TEMP%\e482.tmp
%TEMP%\e470.tmp
%TEMP%\tmpabf.tmp
%TEMP%\e45f.tmp
%TEMP%\e44f.tmp
%TEMP%\e44e.tmp
%TEMP%\e42e.tmp
%TEMP%\e41d.tmp
%TEMP%\e370.tmp
%TEMP%\e36f.tmp
%TEMP%\e34f.tmp
%TEMP%\e33f.tmp
%TEMP%\cea5.tmp
%TEMP%\ce65.tmp
%TEMP%\ce65.tmp-shm
%TEMP%\tmp11df.tmp
%TEMP%\tmp1034.tmp
%TEMP%\tmpae0.tmp
%TEMP%\tmpb05.tmp
%TEMP%\tmpaad.tmp
%TEMP%\tmpc91.tmp
%TEMP%\tmpc8f.tmp
%TEMP%\tmpc7d.tmp
%TEMP%\tmpc6b.tmp
%TEMP%\tmpc69.tmp
%TEMP%\tmpc48.tmp
%TEMP%\tmpc46.tmp
%TEMP%\tmpc34.tmp
%TEMP%\tmpc23.tmp
%TEMP%\tmpc11.tmp
%TEMP%\tmpc0f.tmp
%TEMP%\tmpbfe.tmp
%TEMP%\tmpbec.tmp
%TEMP%\tmpbda.tmp
%TEMP%\tmpbc9.tmp
%TEMP%\tmpbb7.tmp
%TEMP%\tmpba6.tmp
%TEMP%\tmpb94.tmp
%TEMP%\tmpb92.tmp
%TEMP%\tmpb71.tmp
%TEMP%\tmpb5f.tmp
%TEMP%\tmpb4e.tmp
%TEMP%\tmpb3c.tmp
%TEMP%\tmpb2a.tmp
%TEMP%\tmpb19.tmp
%TEMP%\tmpb17.tmp
%TEMP%\tmpaf4.tmp
%TEMP%\tmp11e0.tmp

Изменяет следующие файлы

%LOCALAPPDATA%\google\chrome\user data\default\secure preferences

Самоудаляется.

Сетевая активность

Подключается к

'sh#####ourbalance.top':443
'17#.#0.40.83':81
'2t##.#olganfor.ru':443
'10#.#34.38.124':35200
'50##.#olganfor.ru':443
'ap#.ip.sb':443
'wh###.iana.org':43
'WH###.RIPE.NET':43
'10############6831-service1002012510022020.space':80
'86.##6.181.95':3214

TCP

Запросы HTTP GET

http://10############6831-service1002012510022020.space/raccon.exe
http://10############6831-service1002012510022020.space/reestr.exe

Запросы HTTP POST

http://10###########lder1002002131-service1002.space/
http://10##########older33417-01242510022020.space/
http://10############6831-service1002012510022020.space/
http://17#.#0.40.83:81/ via 17#.#0.40.83
http://10#.###.38.124:35200/ via 10#.#34.38.124
http://86.###.181.95:3214/ via 86.##6.181.95

'te##te.in':443

'sh#####ourbalance.top':443

'2t##.#olganfor.ru':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK 10###########lder1002002131-service1002.space
DNS ASK 10###########lder1002002231-service1002.space
DNS ASK 10##########older3100231-service1002.space
DNS ASK 10###########lder1002002431-service1002.space
DNS ASK 10###########lder1002002531-service1002.space
DNS ASK 10##########older33417-01242510022020.space
DNS ASK 10############5831-service1002012510022020.space
DNS ASK 10############6831-service1002012510022020.space
DNS ASK te##te.in
DNS ASK sh#####ourbalance.top
DNS ASK 2t##.#olganfor.ru
DNS ASK 50##.#olganfor.ru
DNS ASK ap#.ip.sb
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Создает и запускает на исполнение

'%TEMP%\14f6.tmp.exe'
'%TEMP%\1e98.tmp.exe'
'%TEMP%\32a6.tmp.exe'
'%TEMP%\43d6.tmp.exe'
'%TEMP%\54d7.tmp.exe'
'%TEMP%\66a3.tmp.exe'
'%TEMP%\7969.tmp.exe'
'%TEMP%\8eed.tmp.exe'

Запускает на исполнение

'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\explorer.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней