Trojan.Siggen14.16301

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\smartclock.lnk
<SYSTEM32>\tasks\smart clock

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\mozilla\firefox\profiles.ini
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\wcpwauw.txt
%TEMP%\dfrsgdgvkwje\_files\_information.txt
%TEMP%\dfrsgdgvkwje\files_\screenshot.jpg
%TEMP%\dfrsgdgvkwje\files_\system_info.txt
%TEMP%\dfrsgdgvkwje\jzjholbkcanhh.zip
%TEMP%\dfrsgdgvkwje\hlirxpttd.zip
%TEMP%\lbrkzv.exe
%TEMP%\nss2627.tmp\uac.dll
%TEMP%\dfrsgdgvkwje\files_\cookies\opera.txt
%TEMP%\dfrsgdgvkwje\_files\_screen_desktop.jpeg
%ProgramFiles(x86)%\foler\olader\acppage.dll
%TEMP%\new feature\vpn.exe
%TEMP%\new feature\4.exe
%TEMP%\7zipsfx.000\consolarmi.xlm
%TEMP%\7zipsfx.000\ingannaste.xlm
%TEMP%\7zipsfx.000\mare.xlm
%TEMP%\7zipsfx.000\udi.xlm
%APPDATA%\smart clock\smartclock.exe
%ProgramFiles(x86)%\foler\olader\adprovider.dll
%ProgramFiles(x86)%\foler\olader\acledit.dll
%TEMP%\dfrsgdgvkwje\_files\_cookies\opera.txt
%TEMP%\dfrsgdgvkwje\bqdqo.tmp
%TEMP%\dfrsgdgvkwje\icsw.tmp
%TEMP%\dfrsgdgvkwje\fehs8.tmp
%TEMP%\dfrsgdgvkwje\c5jmn.tmp-shm
%TEMP%\dfrsgdgvkwje\_files\_cookies\mozilla_firefox.txt
%TEMP%\dfrsgdgvkwje\files_\cookies\mozilla_firefox.txt
%TEMP%\dfrsgdgvkwje\_files\_allcookies_list.txt
%TEMP%\dfrsgdgvkwje\files_\cookies.txt
%TEMP%\dfrsgdgvkwje\vhkgzyw.tmp
%TEMP%\dfrsgdgvkwje\kesnffx.tmp
%TEMP%\dfrsgdgvkwje\c5jmn.tmp
%TEMP%\dfrsgdgvkwje\tdezvam.tmp
%TEMP%\dfrsgdgvkwje\ftjbwqm.tmp
%TEMP%\dfrsgdgvkwje\ojpsg.tmp
%TEMP%\dfrsgdgvkwje\htlrdswj.tmp
%TEMP%\dfrsgdgvkwje\bgvspg.tmp
%TEMP%\dfrsgdgvkwje\tdqathx.tmp
%TEMP%\dfrsgdgvkwje\_files\_cookies\google_chrome.txt
%TEMP%\dfrsgdgvkwje\files_\cookies\google_chrome.txt
%TEMP%\dfrsgdgvkwje\yhfevrsq.tmp
%TEMP%\dfrsgdgvkwje\fmcphuane.tmp
%TEMP%\7zipsfx.000\affannosa.exe.com
%TEMP%\7zipsfx.000\h

Удаляет следующие файлы

%TEMP%\wcpwauw.txt
%TEMP%\7zipsfx.000\ingannaste.xlm
%TEMP%\7zipsfx.000\affannosa.exe.com
%TEMP%\7zipsfx.000\consolarmi.xlm
%TEMP%\7zipsfx.000\h
%TEMP%\dfrsgdgvkwje\_files\_cookies\opera.txt
%TEMP%\dfrsgdgvkwje\yhfevrsq.tmp
%TEMP%\dfrsgdgvkwje\vhkgzyw.tmp
%TEMP%\dfrsgdgvkwje\tdqathx.tmp
%TEMP%\dfrsgdgvkwje\tdezvam.tmp
%TEMP%\dfrsgdgvkwje\ojpsg.tmp
%TEMP%\7zipsfx.000\mare.xlm
%TEMP%\dfrsgdgvkwje\kesnffx.tmp
%TEMP%\dfrsgdgvkwje\htlrdswj.tmp
%TEMP%\dfrsgdgvkwje\ftjbwqm.tmp
%TEMP%\dfrsgdgvkwje\files_\cookies.txt
%TEMP%\dfrsgdgvkwje\files_\cookies\opera.txt
%TEMP%\dfrsgdgvkwje\fehs8.tmp
%TEMP%\dfrsgdgvkwje\c5jmn.tmp
%TEMP%\dfrsgdgvkwje\bqdqo.tmp
%TEMP%\dfrsgdgvkwje\bgvspg.tmp
%TEMP%\nss2627.tmp\uac.dll
%TEMP%\dfrsgdgvkwje\c5jmn.tmp-shm
%TEMP%\dfrsgdgvkwje\icsw.tmp
%TEMP%\7zipsfx.000\udi.xlm

Самоудаляется.

Сетевая активность

Подключается к

'xe###s12.top':80
'mo###w01.top':80
'lo###o01.top':80

TCP

Запросы HTTP POST

http://xe###s12.top/index.php
http://mo###w01.top/index.php

UDP

DNS ASK xe###s12.top
DNS ASK mo###w01.top
DNS ASK lo###o01.top
DNS ASK vM##########QzFIwevo.vMamJEiRFAhIQzFIwevo

Другое

Создает и запускает на исполнение

'%TEMP%\lbrkzv.exe'
'%TEMP%\new feature\vpn.exe'
'%TEMP%\new feature\4.exe'
'%TEMP%\7zipsfx.000\affannosa.exe.com' H
'%APPDATA%\smart clock\smartclock.exe'
'%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\lbrkZV.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\dfRSgdGVkWjE & timeout 3 & del /f /q "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c cmd < Udi.xlm' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\lbrkZV.exe"
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\dfRSgdGVkWjE & timeout 3 & del /f /q "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c cmd < Udi.xlm
'%WINDIR%\syswow64\timeout.exe' 3
'%WINDIR%\syswow64\cmd.exe'
'%WINDIR%\syswow64\findstr.exe' /V /R "^RQWNhxUdVtOmRwinwWDayvrHkBJfQpySTbClIcHUHAqFnIsjLGyajhfxNfBMLFmMZVGznXPFgILFcboClvEltMFFiivzTVpwwgGCeXONRmtD$" Ingannaste.xlm
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 30