Trojan.Siggen12.44675

Техническая информация

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:49176;https=127.0.0.1:49176;socks=127.0.0.1:49175'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<local>'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\main[1]
%APPDATA%\psiphon3\psiphon3.exe.upgrade.164.part.etag
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zftgmx7n\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\w4m69urw\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6tzsd3nh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qyhjpn1q\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\logo[1]
%APPDATA%\psiphon3\psiphon.boltdb
%TEMP%\psiphon-tunnel-core.exe
%APPDATA%\psiphon3\server_list.dat
%APPDATA%\psiphon3\psiphon.config
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\flag_unknown_32[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\banner[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\flags32[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\logo-bw[1]
%TEMP%\dat3c54.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\icomoon[1]
%APPDATA%\psiphon3\psiphon3.exe.upgrade.164.part
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012021031920210320\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qyhjpn1q\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6tzsd3nh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\w4m69urw\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zftgmx7n\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%APPDATA%\psiphon3\psiphon3.exe.upgrade.164.part.etag

Перемещает следующие файлы

%APPDATA%\psiphon3\psiphon3.exe.upgrade.164.part в %APPDATA%\psiphon3\psiphon3.exe.upgrade.164
%APPDATA%\psiphon3\psiphon3.exe.upgrade.164 в %APPDATA%\psiphon3\psiphon3.exe.upgrade

Изменяет следующие файлы

Подменяет следующие исполняемые файлы

<Полный путь к файлу>

Самоперемещается

из <Полный путь к файлу> в <Полный путь к файлу>.orig

Сетевая активность

Подключается к

'77.#8.40.63':22
'79.##2.76.128':22
'45.##.180.173':22
'13#.#62.14.209':53
'18#.#3.182.27':443
'82.##3.82.196':80
'21#.#11.40.165':53
'45.##.100.248':22
'a2##.#.akamai.net':443
'17#.#8.108.149':53
'88.##8.221.101':22
'localhost':49176

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D
http://st####.rapidssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRhhZrQET0hvbSHUJmNfBKqR%2FiT7wQUU8oXWfxrwAMhLxqu5KqoHIJW2nUCEA8RAzFf4a7BlufTueeio%2F0%3D
http://st####.rapidssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRhhZrQET0hvbSHUJmNfBKqR%2FiT7wQUU8oXWfxrwAMhLxqu5KqoHIJW2nUCEAI6oJP8gn8D%2F19dd4BsEgc%3D
http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV

'79.##2.76.128':22

'localhost':49202

'localhost':49203

'localhost':49201

'localhost':49200

'localhost':49199

'localhost':49198

'localhost':49197

'localhost':49196

'localhost':49195

'localhost':49194

'localhost':49193

'localhost':49191

'localhost':49192

'localhost':49190

'localhost':49189

'localhost':49176

'localhost':49188

'88.##8.221.101':22

'77.#8.40.63':22

'a2##.#.akamai.net':443

'13#.#62.14.209':53

'18#.#3.182.27':443

'45.##.180.173':22

'localhost':49204

'localhost':49205

UDP

DNS ASK a2##.#.akamai.net
DNS ASK bd##########981ce9bb32b6b414abbf.lswcdn.net

Другое

Ищет следующие окна

ClassName: 'Internet Explorer_Server' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Static' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\psiphon-tunnel-core.exe' --config "%APPDATA%\Psiphon3\psiphon.config" --serverList "%APPDATA%\Psiphon3\server_list.dat"

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://ipfounder.net/?sponsor_id=4BA4DEF917101460&sponsor=psiphon_bbg&client_region=NL&client_asn=60781&client_platform=windows&secret=580EfjEI29xL3hoyU6dgP4vSEVxdcGI7JDFkxgjds7PHulSEF0wmORpvz...