Trojan.Siggen12.42181

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%TEMP%\tmp653b.tmp
%TEMP%\tmp654b.tmp
%TEMP%\tmp654c.tmp
%TEMP%\tmp654d.tmp
%TEMP%\tmp654e.tmp
%TEMP%\tmp655f.tmp
%TEMP%\tmp6560.tmp
%TEMP%\tmp6561.tmp
%TEMP%\tmp6571.tmp
%TEMP%\tmp6539.tmp
%TEMP%\tmp653a.tmp
%TEMP%\tmp6572.tmp
%TEMP%\tmp6585.tmp
%TEMP%\tmp6586.tmp
%TEMP%\tmp6597.tmp
%TEMP%\tmp6598.tmp
%TEMP%\tmp6599.tmp
%TEMP%\tmp65a9.tmp
%TEMP%\tmp65aa.tmp
%TEMP%\tmp65ab.tmp
%TEMP%\tmp65ac.tmp
%TEMP%\tmp6583.tmp
%TEMP%\tmp6584.tmp
%TEMP%\tmp6528.tmp
%TEMP%\tmp6527.tmp
%TEMP%\tmp6526.tmp
%TEMP%\tmp647f.tmp
%TEMP%\tmp64be.tmp
%TEMP%\tmp64bf.tmp
%TEMP%\tmp64d0.tmp
%TEMP%\tmp64d1.tmp
%TEMP%\tmp64d2.tmp
%TEMP%\tmp64e2.tmp
%TEMP%\tmp64e3.tmp
%TEMP%\tmp649b.tmp
%TEMP%\tmp64cb.tmp
%TEMP%\tmp648b.tmp
%TEMP%\tmp64cc.tmp
%TEMP%\tmp64de.tmp
%TEMP%\tmp64df.tmp
%TEMP%\tmp64ef.tmp
%TEMP%\tmp64f0.tmp
%TEMP%\tmp6501.tmp
%TEMP%\tmp6502.tmp
%TEMP%\tmp6503.tmp
%TEMP%\tmp6513.tmp
%TEMP%\tmp6514.tmp
%TEMP%\tmp6515.tmp
%TEMP%\tmp64dd.tmp
%TEMP%\tmp64e4.tmp
%TEMP%\tmp65c0.tmp
%TEMP%\tmp65c1.tmp
%TEMP%\tmp65d1.tmp
%TEMP%\tmp664f.tmp
%TEMP%\tmp665f.tmp
%TEMP%\tmp6660.tmp
%TEMP%\tmp6661.tmp
%TEMP%\tmp6672.tmp
%TEMP%\tmp6617.tmp
%TEMP%\tmp6692.tmp
%TEMP%\tmp66a4.tmp
%TEMP%\tmp66b2.tmp
%TEMP%\tmp66a5.tmp
%TEMP%\tmp66d5.tmp
%TEMP%\tmp66d6.tmp
%TEMP%\tmp66e2.tmp
%TEMP%\tmp66e7.tmp
%TEMP%\tmp6726.tmp
%TEMP%\tmp6727.tmp
%TEMP%\tmp6728.tmp
%TEMP%\tmp6748.tmp
%TEMP%\tmp6749.tmp
%TEMP%\tmp674a.tmp
%TEMP%\tmp675b.tmp
%TEMP%\tmp677b.tmp
%TEMP%\tmp678c.tmp
%TEMP%\tmp664e.tmp
%TEMP%\tmp663c.tmp
%TEMP%\tmp664d.tmp
%TEMP%\tmp663b.tmp
%TEMP%\tmp65d2.tmp
%TEMP%\tmp65d3.tmp
%TEMP%\tmp65d4.tmp
%TEMP%\tmp65e5.tmp
%TEMP%\tmp65bd.tmp
%TEMP%\tmp65dd.tmp
%TEMP%\tmp65ee.tmp
%TEMP%\tmp65ef.tmp
%TEMP%\tmp65f0.tmp
%TEMP%\tmp65f1.tmp
%TEMP%\tmp65f2.tmp
%TEMP%\tmp6602.tmp
%TEMP%\tmp6603.tmp
%TEMP%\tmp6604.tmp
%TEMP%\tmp6605.tmp
%TEMP%\tmp6616.tmp
%TEMP%\tmp65e6.tmp
%TEMP%\tmp6625.tmp
%TEMP%\tmp6626.tmp
%TEMP%\tmp6627.tmp
%TEMP%\tmp6628.tmp
%TEMP%\tmp6639.tmp
%TEMP%\tmp663a.tmp
%TEMP%\tmp67ea.tmp
%TEMP%\tmp648a.tmp
%TEMP%\tmp6479.tmp
%TEMP%\tmp6478.tmp
%TEMP%\tmp62b3.tmp
%TEMP%\tmp62b4.tmp
%TEMP%\tmp62ad.tmp
%TEMP%\tmp62be.tmp
%TEMP%\tmp62b5.tmp
%TEMP%\tmp62c6.tmp
%TEMP%\tmp62c7.tmp
%TEMP%\tmp62d7.tmp
%TEMP%\tmp62d8.tmp
%TEMP%\tmp62a2.tmp
%TEMP%\tmp62a3.tmp
%TEMP%\tmp62d9.tmp
%TEMP%\tmp62ec.tmp
%TEMP%\tmp62fd.tmp
%TEMP%\tmp62fe.tmp
%TEMP%\tmp62ff.tmp
%TEMP%\tmp630f.tmp
%TEMP%\tmp6310.tmp
%TEMP%\tmp6311.tmp
%TEMP%\tmp6322.tmp
%TEMP%\tmp6323.tmp
%TEMP%\tmp62ea.tmp
%TEMP%\tmp62eb.tmp
%TEMP%\tmp62a1.tmp
%TEMP%\tmp6290.tmp
%TEMP%\tmp628d.tmp
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ocn0lmme\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jz23lims\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2mdpkvri\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\5rc356cz\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%TEMP%\1460957238.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%TEMP%\1980899207.exe
%TEMP%\tmp61ee.tmp
%TEMP%\tmp61fd.tmp
%TEMP%\tmp620d.tmp
%TEMP%\tmp624d.tmp
%TEMP%\tmp626d.tmp
%TEMP%\tmp627d.tmp
%TEMP%\tmp627e.tmp
%TEMP%\tmp627f.tmp
%TEMP%\tmp628b.tmp
%TEMP%\tmp628c.tmp
%TEMP%\tmp61ed.tmp
%TEMP%\tmp6324.tmp
%TEMP%\tmp6325.tmp
%TEMP%\tmp6335.tmp
%TEMP%\tmp6336.tmp
%TEMP%\tmp63f4.tmp
%TEMP%\tmp63f5.tmp
%TEMP%\tmp63f6.tmp
%TEMP%\tmp63f7.tmp
%TEMP%\tmp63f8.tmp
%TEMP%\tmp6418.tmp
%TEMP%\tmp63f1.tmp
%TEMP%\tmp63f2.tmp
%TEMP%\tmp6403.tmp
%TEMP%\tmp6404.tmp
%TEMP%\tmp6405.tmp
%TEMP%\tmp6415.tmp
%TEMP%\tmp6419.tmp
%TEMP%\tmp6459.tmp
%TEMP%\tmp645a.tmp
%TEMP%\tmp645b.tmp
%TEMP%\tmp646b.tmp
%TEMP%\tmp646c.tmp
%TEMP%\tmp647d.tmp
%TEMP%\tmp647e.tmp
%TEMP%\tmp6416.tmp
%TEMP%\tmp6465.tmp
%TEMP%\tmp6466.tmp
%TEMP%\tmp63e3.tmp
%TEMP%\tmp63b2.tmp
%TEMP%\tmp63c3.tmp
%TEMP%\tmp63c2.tmp
%TEMP%\tmp6337.tmp
%TEMP%\tmp632c.tmp
%TEMP%\tmp632d.tmp
%TEMP%\tmp632e.tmp
%TEMP%\tmp633f.tmp
%TEMP%\tmp6340.tmp
%TEMP%\tmp6341.tmp
%TEMP%\tmp6348.tmp
%TEMP%\tmp6368.tmp
%TEMP%\tmp6379.tmp
%TEMP%\tmp6351.tmp
%TEMP%\tmp6371.tmp
%TEMP%\tmp6389.tmp
%TEMP%\tmp638a.tmp
%TEMP%\tmp639b.tmp
%TEMP%\tmp639c.tmp
%TEMP%\tmp639d.tmp
%TEMP%\tmp63ae.tmp
%TEMP%\tmp63af.tmp
%TEMP%\tmp63b0.tmp
%TEMP%\tmp63b1.tmp
%TEMP%\tmp63c1.tmp
%TEMP%\tmp63a1.tmp
%TEMP%\tmp6477.tmp
%TEMP%\tmp67eb.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ocn0lmme\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jz23lims\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2mdpkvri\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\5rc356cz\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\tmp61ee.tmp
%TEMP%\tmp65ee.tmp
%TEMP%\tmp65bd.tmp
%TEMP%\tmp65d4.tmp
%TEMP%\tmp65d2.tmp
%TEMP%\tmp65c1.tmp
%TEMP%\tmp64e4.tmp
%TEMP%\tmp65ab.tmp
%TEMP%\tmp65a9.tmp
%TEMP%\tmp6598.tmp
%TEMP%\tmp6586.tmp
%TEMP%\tmp64de.tmp
%TEMP%\tmp6584.tmp
%TEMP%\tmp6561.tmp
%TEMP%\tmp655f.tmp
%TEMP%\tmp654d.tmp
%TEMP%\tmp654b.tmp
%TEMP%\tmp653a.tmp
%TEMP%\tmp6528.tmp
%TEMP%\tmp6526.tmp
%TEMP%\tmp6514.tmp
%TEMP%\tmp6503.tmp
%TEMP%\tmp6501.tmp
%TEMP%\tmp6572.tmp
%TEMP%\tmp64ef.tmp
%TEMP%\tmp65f0.tmp
%TEMP%\tmp6692.tmp
%TEMP%\tmp678c.tmp
%TEMP%\tmp677b.tmp
%TEMP%\tmp675b.tmp
%TEMP%\tmp6749.tmp
%TEMP%\tmp6728.tmp
%TEMP%\tmp6726.tmp
%TEMP%\tmp66d6.tmp
%TEMP%\tmp66e2.tmp
%TEMP%\tmp66a5.tmp
%TEMP%\tmp66b2.tmp
%TEMP%\tmp6603.tmp
%TEMP%\tmp65f2.tmp
%TEMP%\tmp6672.tmp
%TEMP%\tmp6661.tmp
%TEMP%\tmp665f.tmp
%TEMP%\tmp664e.tmp
%TEMP%\tmp663c.tmp
%TEMP%\tmp663a.tmp
%TEMP%\tmp6628.tmp
%TEMP%\tmp6626.tmp
%TEMP%\tmp65e6.tmp
%TEMP%\tmp6605.tmp
%TEMP%\tmp6617.tmp
%TEMP%\tmp64cc.tmp
%TEMP%\tmp649b.tmp
%TEMP%\tmp64e2.tmp
%TEMP%\tmp632e.tmp
%TEMP%\tmp632c.tmp
%TEMP%\tmp6336.tmp
%TEMP%\tmp6325.tmp
%TEMP%\tmp6323.tmp
%TEMP%\tmp6311.tmp
%TEMP%\tmp630f.tmp
%TEMP%\tmp62fe.tmp
%TEMP%\tmp62ec.tmp
%TEMP%\tmp6348.tmp
%TEMP%\tmp62ea.tmp
%TEMP%\tmp62c7.tmp
%TEMP%\tmp62b5.tmp
%TEMP%\tmp62ad.tmp
%TEMP%\tmp62b3.tmp
%TEMP%\tmp62a2.tmp
%TEMP%\tmp6290.tmp
%TEMP%\tmp628c.tmp
%TEMP%\tmp620d.tmp
%TEMP%\tmp627e.tmp
%TEMP%\tmp626d.tmp
%TEMP%\tmp62d8.tmp
%TEMP%\tmp6351.tmp
%TEMP%\tmp6340.tmp
%TEMP%\tmp6379.tmp
%TEMP%\tmp64d1.tmp
%TEMP%\tmp6405.tmp
%TEMP%\tmp64bf.tmp
%TEMP%\tmp647f.tmp
%TEMP%\tmp648a.tmp
%TEMP%\tmp6478.tmp
%TEMP%\tmp6466.tmp
%TEMP%\tmp6416.tmp
%TEMP%\tmp647d.tmp
%TEMP%\tmp646b.tmp
%TEMP%\tmp645a.tmp
%TEMP%\tmp6419.tmp
%TEMP%\tmp6403.tmp
%TEMP%\tmp638a.tmp
%TEMP%\tmp63f1.tmp
%TEMP%\tmp63f8.tmp
%TEMP%\tmp63f6.tmp
%TEMP%\tmp63f4.tmp
%TEMP%\tmp63c3.tmp
%TEMP%\tmp63a1.tmp
%TEMP%\tmp63c1.tmp
%TEMP%\tmp63b0.tmp
%TEMP%\tmp63ae.tmp
%TEMP%\tmp639c.tmp
%TEMP%\tmp67ea.tmp
%TEMP%\tmp67eb.tmp

Самоудаляется.

Сетевая активность

Подключается к

'ip###ger.com':443
'r3.#.lencr.org':80
'microsoft.com':80
'lo####pert2.info':80
'5y##.ottezav.ru':443
'9l#####ot.urusuki.ru':443
'us###ft.info':80
're####ksite.info':80
'ap#.ip.sb':443

TCP

Запросы HTTP GET

http://lo####pert2.info/function/v2tmp/momomoomomom.php
http://lo####pert2.info/users/content/id4843920512/sskiperus_part1.txt
http://lo####pert2.info/function/v2tmp/sskiperus.php

Запросы HTTP POST

http://re####ksite.info/
http://us###ft.info/

'ip###ger.com':443

'5y##.ottezav.ru':443

'9l#####ot.urusuki.ru':443

'ap#.ip.sb':443

UDP

DNS ASK ip###ger.com
DNS ASK r3.#.lencr.org
DNS ASK microsoft.com
DNS ASK lo####pert2.info
DNS ASK 5y##.ottezav.ru
DNS ASK 9l#####ot.urusuki.ru
DNS ASK us###ft.info
DNS ASK re####ksite.info
DNS ASK ap#.ip.sb

Другое

Создает и запускает на исполнение

'%TEMP%\1460957238.exe'
'%TEMP%\1980899207.exe'
'%WINDIR%\syswow64\cmd.exe' /k ping 0 & del <Полный путь к файлу> & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
'%WINDIR%\syswow64\cmd.exe' /k ping 0 & del <Полный путь к файлу> & exit
'%WINDIR%\syswow64\ping.exe' 0

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней