Trojan.PWS.Siggen2.62627

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\sdszfo.docx

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmpb55a.tmp
%TEMP%\tmpb90c.tmp
%TEMP%\tmpb90b.tmp
%TEMP%\tmpb8fb.tmp
%TEMP%\tmpb8fa.tmp
%TEMP%\tmpb89b.tmp
%TEMP%\tmpb89a.tmp
%TEMP%\tmpb889.tmp
%TEMP%\tmpb888.tmp
%TEMP%\tmpb887.tmp
%TEMP%\tmpb886.tmp
%TEMP%\tmpb876.tmp
%TEMP%\tmpb875.tmp
%TEMP%\tmpb78a.tmp
%TEMP%\tmpb779.tmp
%TEMP%\tmpb759.tmp
%TEMP%\tmpb758.tmp
%TEMP%\tmpb757.tmp
%TEMP%\tmpb746.tmp
%TEMP%\tmpb745.tmp
%TEMP%\tmpb744.tmp
%TEMP%\tmpb734.tmp
%TEMP%\tmpb732.tmp
%TEMP%\tmpb733.tmp
%TEMP%\tmpb90d.tmp
%TEMP%\tmpb91e.tmp
%TEMP%\tmpb9df.tmp
%TEMP%\tmpb9bf.tmp
%TEMP%\tmpb9af.tmp
%TEMP%\tmpb9ae.tmp
%TEMP%\tmpb98d.tmp
%TEMP%\tmpb98c.tmp
%TEMP%\tmpb98b.tmp
%TEMP%\tmpb97b.tmp
%TEMP%\tmpb97a.tmp
%TEMP%\tmpb979.tmp
%TEMP%\tmpb967.tmp
%TEMP%\tmpb6d5.tmp
%TEMP%\tmpb966.tmp
%TEMP%\tmpb956.tmp
%TEMP%\tmpb955.tmp
%TEMP%\tmpb954.tmp
%TEMP%\tmpb943.tmp
%TEMP%\tmpb942.tmp
%TEMP%\tmpb931.tmp
%TEMP%\tmpb930.tmp
%TEMP%\tmpb920.tmp
%TEMP%\tmpb91f.tmp
%TEMP%\tmpb731.tmp
%TEMP%\tmpb720.tmp
%TEMP%\tmpb71f.tmp
%TEMP%\tmpb648.tmp
%TEMP%\tmpb647.tmp
%TEMP%\tmpb646.tmp
%TEMP%\tmpb635.tmp
%TEMP%\tmpb634.tmp
%TEMP%\tmpb624.tmp
%TEMP%\tmpb623.tmp
%TEMP%\tmpb622.tmp
%TEMP%\tmpb611.tmp
%TEMP%\tmpb610.tmp
%TEMP%\tmpb600.tmp
%TEMP%\tmpb5ef.tmp
%TEMP%\tmpb5ee.tmp
%TEMP%\tmpb5dd.tmp
%TEMP%\tmpb5dc.tmp
%TEMP%\tmpb5cc.tmp
%TEMP%\tmpb5cb.tmp
%TEMP%\tmpb5ca.tmp
%TEMP%\tmpb5b9.tmp
%TEMP%\tmpb56a.tmp
%TEMP%\tmpb669.tmp
%TEMP%\tmpb66a.tmp
%TEMP%\tmpb659.tmp
%TEMP%\tmpb67b.tmp
%TEMP%\tmpb70f.tmp
%TEMP%\tmpb67c.tmp
%TEMP%\tmpb70e.tmp
%TEMP%\tmpb70d.tmp
%TEMP%\tmpb6fc.tmp
%TEMP%\tmpb6fb.tmp
%TEMP%\tmpb6fa.tmp
%TEMP%\tmpb6e9.tmp
%TEMP%\tmpb6e8.tmp
%TEMP%\tmpb6e7.tmp
%TEMP%\tmpb6d7.tmp
%TEMP%\tmpb968.tmp
%TEMP%\tmpba00.tmp
%TEMP%\tmpb6c4.tmp
%TEMP%\tmpb6b4.tmp
%TEMP%\tmpb6b3.tmp
%TEMP%\tmpb6a2.tmp
%TEMP%\tmpb6a1.tmp
%TEMP%\tmpb6a0.tmp
%TEMP%\tmpb68f.tmp
%TEMP%\tmpb68e.tmp
%TEMP%\tmpb68d.tmp
%TEMP%\tmpb67d.tmp
%TEMP%\tmpb6d6.tmp
%TEMP%\tmpba10.tmp

Удаляет следующие файлы

%TEMP%\tmpb56a.tmp
%TEMP%\tmpb759.tmp
%TEMP%\tmpb78a.tmp
%TEMP%\tmpb876.tmp
%TEMP%\tmpb887.tmp
%TEMP%\tmpb889.tmp
%TEMP%\tmpb89b.tmp
%TEMP%\tmpb8fb.tmp
%TEMP%\tmpb90c.tmp
%TEMP%\tmpb91e.tmp
%TEMP%\tmpb745.tmp
%TEMP%\tmpb757.tmp
%TEMP%\tmpb920.tmp
%TEMP%\tmpb955.tmp
%TEMP%\tmpb966.tmp
%TEMP%\tmpb968.tmp
%TEMP%\tmpb97a.tmp
%TEMP%\tmpb98b.tmp
%TEMP%\tmpb98d.tmp
%TEMP%\tmpb9af.tmp
%TEMP%\tmpb9bf.tmp
%TEMP%\tmpb9df.tmp
%TEMP%\tmpb931.tmp
%TEMP%\tmpb943.tmp
%TEMP%\tmpb734.tmp
%TEMP%\tmpb732.tmp
%TEMP%\tmpb720.tmp
%TEMP%\tmpb5cc.tmp
%TEMP%\tmpb5dd.tmp
%TEMP%\tmpb5ef.tmp
%TEMP%\tmpb610.tmp
%TEMP%\tmpb622.tmp
%TEMP%\tmpb624.tmp
%TEMP%\tmpb635.tmp
%TEMP%\tmpb647.tmp
%TEMP%\tmpb659.tmp
%TEMP%\tmpb66a.tmp
%TEMP%\tmpb5ca.tmp
%TEMP%\tmpb67c.tmp
%TEMP%\tmpb68f.tmp
%TEMP%\tmpb6a1.tmp
%TEMP%\tmpb6b3.tmp
%TEMP%\tmpb6c4.tmp
%TEMP%\tmpb6d6.tmp
%TEMP%\tmpb6e7.tmp
%TEMP%\tmpb6e9.tmp
%TEMP%\tmpb6fb.tmp
%TEMP%\tmpb70d.tmp
%TEMP%\tmpb70f.tmp
%TEMP%\tmpb68d.tmp
%TEMP%\tmpba00.tmp
%TEMP%\tmpba10.tmp

Сетевая активность

Подключается к

'95.##7.124.100':6112
'ap#.ip.sb':443

TCP

Запросы HTTP POST

http://95.###.124.100:6112/ via 95.##7.124.100

'ap#.ip.sb':443

UDP

DNS ASK ap#.ip.sb

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''