Trojan.PWS.Siggen2.64113

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmpe178.tmp
%TEMP%\tmpe337.tmp
%TEMP%\tmpe336.tmp
%TEMP%\tmpe335.tmp
%TEMP%\tmpe325.tmp
%TEMP%\tmpe324.tmp
%TEMP%\tmpe323.tmp
%TEMP%\tmpe322.tmp
%TEMP%\tmpe321.tmp
%TEMP%\tmpe310.tmp
%TEMP%\tmpe30f.tmp
%TEMP%\tmpe30e.tmp
%TEMP%\tmpe30d.tmp
%TEMP%\tmpe2fd.tmp
%TEMP%\tmpe2fc.tmp
%TEMP%\tmpe2fb.tmp
%TEMP%\tmpe2fa.tmp
%TEMP%\tmpe2e9.tmp
%TEMP%\tmpe2e8.tmp
%TEMP%\tmpe2e7.tmp
%TEMP%\tmpe2e6.tmp
%TEMP%\tmpe2d5.tmp
%TEMP%\tmpe2d3.tmp
%TEMP%\tmpe2d4.tmp
%TEMP%\tmpe338.tmp
%TEMP%\tmpe349.tmp
%TEMP%\tmpe61d.tmp
%TEMP%\tmpe4c5.tmp
%TEMP%\tmpe3f9.tmp
%TEMP%\tmpe3e8.tmp
%TEMP%\tmpe3a9.tmp
%TEMP%\tmpe3a8.tmp
%TEMP%\tmpe397.tmp
%TEMP%\tmpe396.tmp
%TEMP%\tmpe395.tmp
%TEMP%\tmpe394.tmp
%TEMP%\tmpe392.tmp
%TEMP%\tmpe286.tmp
%TEMP%\tmpe372.tmp
%TEMP%\tmpe371.tmp
%TEMP%\tmpe370.tmp
%TEMP%\tmpe360.tmp
%TEMP%\tmpe35f.tmp
%TEMP%\tmpe35e.tmp
%TEMP%\tmpe34d.tmp
%TEMP%\tmpe34c.tmp
%TEMP%\tmpe34b.tmp
%TEMP%\tmpe34a.tmp
%TEMP%\tmpe2d2.tmp
%TEMP%\tmpe2d1.tmp
%TEMP%\tmpe2c1.tmp
%TEMP%\tmpe238.tmp
%TEMP%\tmpe237.tmp
%TEMP%\tmpe236.tmp
%TEMP%\tmpe225.tmp
%TEMP%\tmpe224.tmp
%TEMP%\tmpe223.tmp
%TEMP%\tmpe222.tmp
%TEMP%\tmpe211.tmp
%TEMP%\tmpe210.tmp
%TEMP%\tmpe20f.tmp
%TEMP%\tmpe1ff.tmp
%TEMP%\tmpe1fe.tmp
%TEMP%\tmpe1fd.tmp
%TEMP%\tmpe1ec.tmp
%TEMP%\tmpe1eb.tmp
%TEMP%\tmpe1db.tmp
%TEMP%\tmpe1da.tmp
%TEMP%\tmpe1d9.tmp
%TEMP%\tmpe1c8.tmp
%TEMP%\tmpe179.tmp
%TEMP%\tmpe249.tmp
%TEMP%\tmpe24a.tmp
%TEMP%\tmpe248.tmp
%TEMP%\tmpe24b.tmp
%TEMP%\tmpe2c0.tmp
%TEMP%\tmpe25c.tmp
%TEMP%\tmpe2bf.tmp
%TEMP%\tmpe2ae.tmp
%TEMP%\tmpe2ad.tmp
%TEMP%\tmpe2ac.tmp
%TEMP%\tmpe2ab.tmp
%TEMP%\tmpe2aa.tmp
%TEMP%\tmpe29a.tmp
%TEMP%\tmpe299.tmp
%TEMP%\tmpe298.tmp
%TEMP%\tmpe393.tmp
%TEMP%\tmpe66c.tmp
%TEMP%\tmpe285.tmp
%TEMP%\tmpe284.tmp
%TEMP%\tmpe283.tmp
%TEMP%\tmpe272.tmp
%TEMP%\tmpe271.tmp
%TEMP%\tmpe270.tmp
%TEMP%\tmpe26f.tmp
%TEMP%\tmpe26e.tmp
%TEMP%\tmpe25e.tmp
%TEMP%\tmpe25d.tmp
%TEMP%\tmpe297.tmp
%TEMP%\tmpe757.tmp

Удаляет следующие файлы

%TEMP%\tmpe179.tmp
%TEMP%\tmpe2fb.tmp
%TEMP%\tmpe2fd.tmp
%TEMP%\tmpe30e.tmp
%TEMP%\tmpe310.tmp
%TEMP%\tmpe322.tmp
%TEMP%\tmpe324.tmp
%TEMP%\tmpe335.tmp
%TEMP%\tmpe337.tmp
%TEMP%\tmpe349.tmp
%TEMP%\tmpe2e7.tmp
%TEMP%\tmpe2e9.tmp
%TEMP%\tmpe34b.tmp
%TEMP%\tmpe370.tmp
%TEMP%\tmpe372.tmp
%TEMP%\tmpe393.tmp
%TEMP%\tmpe395.tmp
%TEMP%\tmpe397.tmp
%TEMP%\tmpe3a9.tmp
%TEMP%\tmpe3f9.tmp
%TEMP%\tmpe4c5.tmp
%TEMP%\tmpe61d.tmp
%TEMP%\tmpe34d.tmp
%TEMP%\tmpe35f.tmp
%TEMP%\tmpe2d5.tmp
%TEMP%\tmpe2d3.tmp
%TEMP%\tmpe2d1.tmp
%TEMP%\tmpe1db.tmp
%TEMP%\tmpe1ec.tmp
%TEMP%\tmpe1fe.tmp
%TEMP%\tmpe20f.tmp
%TEMP%\tmpe211.tmp
%TEMP%\tmpe223.tmp
%TEMP%\tmpe225.tmp
%TEMP%\tmpe237.tmp
%TEMP%\tmpe248.tmp
%TEMP%\tmpe24a.tmp
%TEMP%\tmpe1d9.tmp
%TEMP%\tmpe25c.tmp
%TEMP%\tmpe26f.tmp
%TEMP%\tmpe271.tmp
%TEMP%\tmpe283.tmp
%TEMP%\tmpe285.tmp
%TEMP%\tmpe297.tmp
%TEMP%\tmpe299.tmp
%TEMP%\tmpe2aa.tmp
%TEMP%\tmpe2ac.tmp
%TEMP%\tmpe2ae.tmp
%TEMP%\tmpe2c0.tmp
%TEMP%\tmpe25e.tmp
%TEMP%\tmpe66c.tmp
%TEMP%\tmpe757.tmp

Сетевая активность

Подключается к

'17#.#0.46.70':40355
'ap#.ip.sb':443

TCP

Запросы HTTP POST

http://17#.##.46.70:40355/ via 17#.#0.46.70

'ap#.ip.sb':443

UDP

DNS ASK ap#.ip.sb

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''