Trojan.PWS.Siggen2.64310

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\lisp_success.doc

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp3dab.tmp
%TEMP%\tmp4074.tmp
%TEMP%\tmp4063.tmp
%TEMP%\tmp4053.tmp
%TEMP%\tmp4052.tmp
%TEMP%\tmp4051.tmp
%TEMP%\tmp4050.tmp
%TEMP%\tmp403f.tmp
%TEMP%\tmp403e.tmp
%TEMP%\tmp403d.tmp
%TEMP%\tmp402c.tmp
%TEMP%\tmp402b.tmp
%TEMP%\tmp402a.tmp
%TEMP%\tmp3ffb.tmp
%TEMP%\tmp3ffa.tmp
%TEMP%\tmp3ff9.tmp
%TEMP%\tmp3fe8.tmp
%TEMP%\tmp3fe7.tmp
%TEMP%\tmp3fe6.tmp
%TEMP%\tmp3fd5.tmp
%TEMP%\tmp3fd4.tmp
%TEMP%\tmp3fb4.tmp
%TEMP%\tmp3fa3.tmp
%TEMP%\tmp3fb3.tmp
%TEMP%\tmp4075.tmp
%TEMP%\tmp4076.tmp
%TEMP%\tmp4128.tmp
%TEMP%\tmp4108.tmp
%TEMP%\tmp4107.tmp
%TEMP%\tmp40f6.tmp
%TEMP%\tmp40f5.tmp
%TEMP%\tmp40d5.tmp
%TEMP%\tmp40d4.tmp
%TEMP%\tmp40d3.tmp
%TEMP%\tmp40c2.tmp
%TEMP%\tmp40c1.tmp
%TEMP%\tmp40b0.tmp
%TEMP%\tmp3f26.tmp
%TEMP%\tmp40af.tmp
%TEMP%\tmp40ae.tmp
%TEMP%\tmp40ad.tmp
%TEMP%\tmp409c.tmp
%TEMP%\tmp409b.tmp
%TEMP%\tmp409a.tmp
%TEMP%\tmp4089.tmp
%TEMP%\tmp4088.tmp
%TEMP%\tmp4087.tmp
%TEMP%\tmp4077.tmp
%TEMP%\tmp3fa2.tmp
%TEMP%\tmp3fa1.tmp
%TEMP%\tmp3f90.tmp
%TEMP%\tmp3ec8.tmp
%TEMP%\tmp3eb8.tmp
%TEMP%\tmp3eb7.tmp
%TEMP%\tmp3ea6.tmp
%TEMP%\tmp3e96.tmp
%TEMP%\tmp3e95.tmp
%TEMP%\tmp3e84.tmp
%TEMP%\tmp3e73.tmp
%TEMP%\tmp3e72.tmp
%TEMP%\tmp3e71.tmp
%TEMP%\tmp3e61.tmp
%TEMP%\tmp3e60.tmp
%TEMP%\tmp3e4f.tmp
%TEMP%\tmp3e4e.tmp
%TEMP%\tmp3e3e.tmp
%TEMP%\tmp3e3d.tmp
%TEMP%\tmp3e2c.tmp
%TEMP%\tmp3e2b.tmp
%TEMP%\tmp3e1a.tmp
%TEMP%\tmp3dbc.tmp
%TEMP%\tmp3eca.tmp
%TEMP%\tmp3edb.tmp
%TEMP%\tmp3ec9.tmp
%TEMP%\tmp3edc.tmp
%TEMP%\tmp3f8f.tmp
%TEMP%\tmp3edd.tmp
%TEMP%\tmp3f7e.tmp
%TEMP%\tmp3f7d.tmp
%TEMP%\tmp3f5d.tmp
%TEMP%\tmp3f5c.tmp
%TEMP%\tmp3f5b.tmp
%TEMP%\tmp3f4b.tmp
%TEMP%\tmp3f4a.tmp
%TEMP%\tmp3f39.tmp
%TEMP%\tmp3f38.tmp
%TEMP%\tmp40c0.tmp
%TEMP%\tmp4158.tmp
%TEMP%\tmp3f25.tmp
%TEMP%\tmp3f15.tmp
%TEMP%\tmp3f14.tmp
%TEMP%\tmp3f13.tmp
%TEMP%\tmp3f02.tmp
%TEMP%\tmp3f01.tmp
%TEMP%\tmp3f00.tmp
%TEMP%\tmp3ef0.tmp
%TEMP%\tmp3eef.tmp
%TEMP%\tmp3eee.tmp
%TEMP%\tmp3f27.tmp
%TEMP%\tmp4159.tmp

Удаляет следующие файлы

%TEMP%\tmp3dbc.tmp
%TEMP%\tmp3ff9.tmp
%TEMP%\tmp3ffb.tmp
%TEMP%\tmp402b.tmp
%TEMP%\tmp403d.tmp
%TEMP%\tmp403f.tmp
%TEMP%\tmp4051.tmp
%TEMP%\tmp4053.tmp
%TEMP%\tmp4074.tmp
%TEMP%\tmp4076.tmp
%TEMP%\tmp3fd5.tmp
%TEMP%\tmp3fe7.tmp
%TEMP%\tmp4087.tmp
%TEMP%\tmp40ad.tmp
%TEMP%\tmp40af.tmp
%TEMP%\tmp40c0.tmp
%TEMP%\tmp40c2.tmp
%TEMP%\tmp40d4.tmp
%TEMP%\tmp40f5.tmp
%TEMP%\tmp4107.tmp
%TEMP%\tmp4108.tmp
%TEMP%\tmp4128.tmp
%TEMP%\tmp4089.tmp
%TEMP%\tmp409b.tmp
%TEMP%\tmp3fb4.tmp
%TEMP%\tmp3fa3.tmp
%TEMP%\tmp3fa1.tmp
%TEMP%\tmp3e3d.tmp
%TEMP%\tmp3e4e.tmp
%TEMP%\tmp3e60.tmp
%TEMP%\tmp3e71.tmp
%TEMP%\tmp3e73.tmp
%TEMP%\tmp3e95.tmp
%TEMP%\tmp3ea6.tmp
%TEMP%\tmp3eb8.tmp
%TEMP%\tmp3ec9.tmp
%TEMP%\tmp3edb.tmp
%TEMP%\tmp3e2b.tmp
%TEMP%\tmp3edd.tmp
%TEMP%\tmp3f00.tmp
%TEMP%\tmp3f02.tmp
%TEMP%\tmp3f14.tmp
%TEMP%\tmp3f25.tmp
%TEMP%\tmp3f27.tmp
%TEMP%\tmp3f39.tmp
%TEMP%\tmp3f4b.tmp
%TEMP%\tmp3f5c.tmp
%TEMP%\tmp3f7d.tmp
%TEMP%\tmp3f8f.tmp
%TEMP%\tmp3eef.tmp
%TEMP%\tmp4158.tmp
%TEMP%\tmp4159.tmp

Сетевая активность

Подключается к

'13#.#81.123.173':38453
'ap#.ip.sb':443

TCP

Запросы HTTP POST

http://13#.###.123.173:38453/ via 13#.#81.123.173

'ap#.ip.sb':443

UDP

DNS ASK ap#.ip.sb

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''