Trojan.Siggen14.15518

Техническая информация

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

ebana.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%TEMP%\tmp1232.tmp
%TEMP%\tmp1231.tmp
%TEMP%\tmp1230.tmp
%TEMP%\tmp122f.tmp
%TEMP%\tmp121e.tmp
%TEMP%\tmp121d.tmp
%TEMP%\tmp11f4.tmp
%TEMP%\tmp121c.tmp
%TEMP%\tmp120a.tmp
%TEMP%\tmp1209.tmp
%TEMP%\tmp1208.tmp
%TEMP%\tmp11f8.tmp
%TEMP%\tmp11f7.tmp
%TEMP%\tmp11f6.tmp
%TEMP%\tmp120b.tmp
%TEMP%\tmp11f5.tmp
%TEMP%\tmp1242.tmp
%TEMP%\tmp1299.tmp
%TEMP%\tmp133c.tmp
%TEMP%\tmp133b.tmp
%TEMP%\tmp133a.tmp
%TEMP%\tmp1339.tmp
%TEMP%\tmp1338.tmp
%TEMP%\tmp1328.tmp
%TEMP%\tmp1244.tmp
%TEMP%\tmp1243.tmp
%TEMP%\tmp1279.tmp
%TEMP%\tmp1278.tmp
%TEMP%\tmp1258.tmp
%TEMP%\tmp1257.tmp
%TEMP%\tmp1256.tmp
%TEMP%\tmp1245.tmp
%TEMP%\tmp129a.tmp
%TEMP%\tmp11f3.tmp
%TEMP%\tmp11e2.tmp
%TEMP%\tmp11e1.tmp
%TEMP%\tmp115f.tmp
%TEMP%\tmp115e.tmp
%TEMP%\ebana.exe
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%TEMP%\tmp1171.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\b49d88s7\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jl5ddlk3\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\gdczzumz\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\tvzb0iu7\desktop.ini
%TEMP%\tmp1172.tmp
%TEMP%\tmp1170.tmp
%TEMP%\tmp1173.tmp
%TEMP%\tmp11e0.tmp
%TEMP%\tmp11aa.tmp
%TEMP%\tmp11d0.tmp
%TEMP%\tmp11cf.tmp
%TEMP%\tmp11ce.tmp
%TEMP%\tmp11bd.tmp
%TEMP%\tmp11bc.tmp
%TEMP%\tmp11ab.tmp
%TEMP%\tmp11a9.tmp
%TEMP%\tmp1183.tmp
%TEMP%\tmp11a8.tmp
%TEMP%\tmp1198.tmp
%TEMP%\tmp1197.tmp
%TEMP%\tmp1196.tmp
%TEMP%\tmp1185.tmp
%TEMP%\tmp1184.tmp
%TEMP%\tmp134d.tmp
%TEMP%\tmp134e.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\gdczzumz\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jl5ddlk3\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\tvzb0iu7\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\b49d88s7\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\tmp115f.tmp
%TEMP%\tmp120a.tmp
%TEMP%\tmp121d.tmp
%TEMP%\tmp121c.tmp
%TEMP%\tmp122f.tmp
%TEMP%\tmp121e.tmp
%TEMP%\tmp1231.tmp
%TEMP%\tmp1230.tmp
%TEMP%\tmp1242.tmp
%TEMP%\tmp1232.tmp
%TEMP%\tmp1244.tmp
%TEMP%\tmp1243.tmp
%TEMP%\tmp1208.tmp
%TEMP%\tmp120b.tmp
%TEMP%\tmp1256.tmp
%TEMP%\tmp1257.tmp
%TEMP%\tmp1279.tmp
%TEMP%\tmp1278.tmp
%TEMP%\tmp129a.tmp
%TEMP%\tmp1299.tmp
%TEMP%\tmp1328.tmp
%TEMP%\tmp1338.tmp
%TEMP%\tmp1339.tmp
%TEMP%\tmp133a.tmp
%TEMP%\tmp133b.tmp
%TEMP%\tmp133c.tmp
%TEMP%\tmp1245.tmp
%TEMP%\tmp1258.tmp
%TEMP%\tmp1209.tmp
%TEMP%\tmp11f7.tmp
%TEMP%\tmp11f8.tmp
%TEMP%\tmp1171.tmp
%TEMP%\tmp1170.tmp
%TEMP%\tmp1173.tmp
%TEMP%\tmp1172.tmp
%TEMP%\tmp1184.tmp
%TEMP%\tmp1183.tmp
%TEMP%\tmp1196.tmp
%TEMP%\tmp1185.tmp
%TEMP%\tmp1198.tmp
%TEMP%\tmp1197.tmp
%TEMP%\tmp11a9.tmp
%TEMP%\tmp11a8.tmp
%TEMP%\tmp115e.tmp
%TEMP%\tmp11ab.tmp
%TEMP%\tmp11bd.tmp
%TEMP%\tmp11bc.tmp
%TEMP%\tmp11cf.tmp
%TEMP%\tmp11ce.tmp
%TEMP%\tmp11e0.tmp
%TEMP%\tmp11d0.tmp
%TEMP%\tmp11e2.tmp
%TEMP%\tmp11e1.tmp
%TEMP%\tmp11f4.tmp
%TEMP%\tmp11f3.tmp
%TEMP%\tmp11f6.tmp
%TEMP%\tmp11f5.tmp
%TEMP%\tmp11aa.tmp
%TEMP%\tmp134d.tmp
%TEMP%\tmp134e.tmp

Самоудаляется.

Сетевая активность

Подключается к

'ip###ger.org':443
'microsoft.com':80
'oc##.#ectigo.com':80
'ap#.ip.sb':443

TCP

Запросы HTTP GET

http://do###oad2.info/function/v2tmp/momomoomomom.php

Запросы HTTP POST

http://ts###ore.info/

Другие

'ip###ger.org':443
'ap#.ip.sb':443

UDP

DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK do###oad2.info
DNS ASK oc##.#ectigo.com
DNS ASK ts###ore.info
DNS ASK ap#.ip.sb

Другое

Создает и запускает на исполнение

'%TEMP%\ebana.exe'
'%WINDIR%\syswow64\cmd.exe' /k ping 0 & del <Полный путь к файлу> & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\cmd.exe' /k ping 0 & del <Полный путь к файлу> & exit
'%WINDIR%\syswow64\ping.exe' 0