Trojan.Siggen12.40974

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp8507.tmp
%TEMP%\tmp8aeb.tmp
%TEMP%\tmp8aea.tmp
%TEMP%\tmp8ad9.tmp
%TEMP%\tmp8ad8.tmp
%TEMP%\tmp8ac8.tmp
%TEMP%\tmp8ac7.tmp
%TEMP%\tmp8ac6.tmp
%TEMP%\tmp8a67.tmp
%TEMP%\tmp8a66.tmp
%TEMP%\tmp8a65.tmp
%TEMP%\tmp8a26.tmp
%TEMP%\tmp8a25.tmp
%TEMP%\tmp89a7.tmp
%TEMP%\tmp89a6.tmp
%TEMP%\tmp8967.tmp
%TEMP%\tmp8966.tmp
%TEMP%\tmp8965.tmp
%TEMP%\tmp8954.tmp
%TEMP%\tmp88c7.tmp
%TEMP%\tmp88c6.tmp
%TEMP%\tmp88c5.tmp
%TEMP%\tmp88b3.tmp
%TEMP%\tmp88b4.tmp
%TEMP%\tmp8afc.tmp
%TEMP%\tmp8afd.tmp
%TEMP%\tmp8b80.tmp
%TEMP%\tmp8b6f.tmp
%TEMP%\tmp8b6e.tmp
%TEMP%\tmp8b6d.tmp
%TEMP%\tmp8b5d.tmp
%TEMP%\tmp8b5c.tmp
%TEMP%\tmp8b5b.tmp
%TEMP%\tmp8b5a.tmp
%TEMP%\tmp8b49.tmp
%TEMP%\tmp8b48.tmp
%TEMP%\tmp8b46.tmp
%TEMP%\tmp875c.tmp
%TEMP%\tmp8b35.tmp
%TEMP%\tmp8b34.tmp
%TEMP%\tmp8b33.tmp
%TEMP%\tmp8b32.tmp
%TEMP%\tmp8b22.tmp
%TEMP%\tmp8b21.tmp
%TEMP%\tmp8b10.tmp
%TEMP%\tmp8b0f.tmp
%TEMP%\tmp8b0e.tmp
%TEMP%\tmp8afe.tmp
%TEMP%\tmp88b2.tmp
%TEMP%\tmp8873.tmp
%TEMP%\tmp8824.tmp
%TEMP%\tmp85f5.tmp
%TEMP%\tmp85f4.tmp
%TEMP%\tmp85e4.tmp
%TEMP%\tmp85e3.tmp
%TEMP%\tmp85e2.tmp
%TEMP%\tmp85d1.tmp
%TEMP%\tmp85d0.tmp
%TEMP%\tmp85bf.tmp
%TEMP%\tmp85be.tmp
%TEMP%\tmp85ae.tmp
%TEMP%\tmp859d.tmp
%TEMP%\tmp859c.tmp
%TEMP%\tmp859b.tmp
%TEMP%\tmp858b.tmp
%TEMP%\tmp857a.tmp
%TEMP%\tmp8579.tmp
%TEMP%\tmp8568.tmp
%TEMP%\tmp8567.tmp
%TEMP%\tmp8557.tmp
%TEMP%\tmp8517.tmp
%TEMP%\tmp8664.tmp
%TEMP%\tmp8675.tmp
%TEMP%\tmp8663.tmp
%TEMP%\tmp86b4.tmp
%TEMP%\tmp87d5.tmp
%TEMP%\tmp86b5.tmp
%TEMP%\tmp87d4.tmp
%TEMP%\tmp87c3.tmp
%TEMP%\tmp87c2.tmp
%TEMP%\tmp87c1.tmp
%TEMP%\tmp87c0.tmp
%TEMP%\tmp87af.tmp
%TEMP%\tmp87ae.tmp
%TEMP%\tmp876f.tmp
%TEMP%\tmp875e.tmp
%TEMP%\tmp8b47.tmp
%TEMP%\tmp8ba0.tmp
%TEMP%\tmp875b.tmp
%TEMP%\tmp874b.tmp
%TEMP%\tmp874a.tmp
%TEMP%\tmp8739.tmp
%TEMP%\tmp86db.tmp
%TEMP%\tmp86da.tmp
%TEMP%\tmp86d9.tmp
%TEMP%\tmp86c8.tmp
%TEMP%\tmp86c7.tmp
%TEMP%\tmp86c6.tmp
%TEMP%\tmp875d.tmp
%TEMP%\tmp8ba1.tmp

Удаляет следующие файлы

%TEMP%\tmp8517.tmp
%TEMP%\tmp8967.tmp
%TEMP%\tmp89a7.tmp
%TEMP%\tmp8a26.tmp
%TEMP%\tmp8a66.tmp
%TEMP%\tmp8ac6.tmp
%TEMP%\tmp8ac8.tmp
%TEMP%\tmp8ad9.tmp
%TEMP%\tmp8aeb.tmp
%TEMP%\tmp8afd.tmp
%TEMP%\tmp88c7.tmp
%TEMP%\tmp8965.tmp
%TEMP%\tmp8b0e.tmp
%TEMP%\tmp8b33.tmp
%TEMP%\tmp8b35.tmp
%TEMP%\tmp8b47.tmp
%TEMP%\tmp8b49.tmp
%TEMP%\tmp8b5b.tmp
%TEMP%\tmp8b5d.tmp
%TEMP%\tmp8b6e.tmp
%TEMP%\tmp8b6f.tmp
%TEMP%\tmp8b80.tmp
%TEMP%\tmp8b10.tmp
%TEMP%\tmp8b22.tmp
%TEMP%\tmp88c5.tmp
%TEMP%\tmp88b3.tmp
%TEMP%\tmp8873.tmp
%TEMP%\tmp8579.tmp
%TEMP%\tmp858b.tmp
%TEMP%\tmp859c.tmp
%TEMP%\tmp85ae.tmp
%TEMP%\tmp85bf.tmp
%TEMP%\tmp85d1.tmp
%TEMP%\tmp85e3.tmp
%TEMP%\tmp85f4.tmp
%TEMP%\tmp8663.tmp
%TEMP%\tmp8675.tmp
%TEMP%\tmp8567.tmp
%TEMP%\tmp86b5.tmp
%TEMP%\tmp86d9.tmp
%TEMP%\tmp86db.tmp
%TEMP%\tmp874a.tmp
%TEMP%\tmp875b.tmp
%TEMP%\tmp875d.tmp
%TEMP%\tmp876f.tmp
%TEMP%\tmp87af.tmp
%TEMP%\tmp87c1.tmp
%TEMP%\tmp87c3.tmp
%TEMP%\tmp87d5.tmp
%TEMP%\tmp86c7.tmp
%TEMP%\tmp8ba0.tmp
%TEMP%\tmp8ba1.tmp

Сетевая активность

Подключается к

'80.##.206.118':3214
'ap#.ip.sb':443
'wh###.iana.org':43
'WH###.RIPE.NET':43

TCP

Запросы HTTP POST

http://80.##.206.118:3214/ via 80.##.206.118

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C reg addВ HKEY_CURRENT_USER\Software\DataFinder\keycheck /vВ Status /tВ REG_DWORDВ /dВ 1 && reg addВ HKEY_CURRENT_USER\Software\DataFinder\VersiumResearch /vВ Status /tВ REG_DWORDВ /dВ 1
'%WINDIR%\syswow64\reg.exe' addВ HKEY_CURRENT_USER\Software\DataFinder\keycheck /vВ Status /tВ REG_DWORDВ /dВ 1