Trojan.Siggen14.37707

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Вредоносные функции

Запускает на исполнение

Внедряет код в

следующие пользовательские процессы:

Читает файлы, отвечающие за хранение паролей сторонними программами

unc\localhost\c$\users\user\appdata\local\google\chrome\user data\default\login data
unc\localhost\c$\users\user\appdata\local\google\chrome\user data\default\cookies
unc\localhost\c$\users\user\appdata\local\google\chrome\user data\default\web data
unc\localhost\c$\users\user\appdata\roaming\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\{wtk1-92tc9-8odb-tn6dm}\66859691440.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\maiucvyndrvogq.exe
%TEMP%\nshf392.tmp\uac.dll
%ProgramFiles(x86)%\foler\olader\acppage.dll
%ProgramFiles(x86)%\foler\olader\adprovider.dll
%TEMP%\new feature\vpn.exe
%APPDATA%\redblur\edspolishpp.exe
%TEMP%\new feature\4.exe
%APPDATA%\smart clock\smartclock.exe
%TEMP%\7zipsfx.000\bisognava.swf
%TEMP%\7zipsfx.000\guardi.swf
%TEMP%\7zipsfx.000\prostro.swf
%TEMP%\7zipsfx.000\puo.swf
%TEMP%\7zipsfx.000\ricordarti.exe.com
%TEMP%\7zipsfx.000\v
%TEMP%\aymv
%ProgramFiles(x86)%\foler\olader\acledit.dll
%TEMP%\nwutiy
%TEMP%\lsroulj-shm
<Текущая директория>\43534.exe
%APPDATA%\svchost.exe
%TEMP%\tmp70eb.tmp.bat
nul
%TEMP%\{wtk1-92tc9-8odb-tn6dm}\74660417434.exe
%TEMP%\hyvq.txt
%TEMP%\lsroulj
%TEMP%\xgwydi
%TEMP%\caddih
%TEMP%\xfnhy
%TEMP%\oigvti
%TEMP%\wsyjgtuku
%TEMP%\{wtk1-92tc9-8odb-tn6dm}\61110489713.exe
%TEMP%\ofxvti
%TEMP%\lttvmpjl
%TEMP%\tpcwxq
%TEMP%\oghiedfvu
%TEMP%\wyxdezvzn
%TEMP%\ukesanuq
%TEMP%\svchost.exe

Удаляет следующие файлы

Самоудаляется.

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

Запросы HTTP POST

Другие

UDP

Другое

Ищет следующие окна

ClassName: 'AutoHotkey' WindowName: '%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\61110489713.exe'
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\maiucvyndrvogq.exe'
'%TEMP%\{wtk1-92tc9-8odb-tn6dm}\74660417434.exe' /mix
'<Текущая директория>\43534.exe'
'%APPDATA%\svchost.exe'
'%TEMP%\7zipsfx.000\ricordarti.exe.com' V
'%TEMP%\{wtk1-92tc9-8odb-tn6dm}\66859691440.exe'
'%APPDATA%\smart clock\smartclock.exe'
'%TEMP%\{wtk1-92tc9-8odb-tn6dm}\61110489713.exe' /mix
'%APPDATA%\redblur\edspolishpp.exe'
'%TEMP%\new feature\4.exe'
'%TEMP%\new feature\vpn.exe'
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "svchost" /tr '"%APPDATA%\svchost.exe"' & exit' (со скрытым окном)
'%TEMP%\maiucvyndrvogq.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c cmd < Bisognava.swf' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\66859691440.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\61110489713.exe" /mix' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\74660417434.exe" /mix' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start /b powershell –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\miner.exe"' & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\66859691440.exe"
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "svchost" /tr '"%APPDATA%\svchost.exe"' & exit
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "svchost" /tr '"%APPDATA%\svchost.exe"'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp70EB.tmp.bat""
'%WINDIR%\syswow64\timeout.exe' 3
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\74660417434.exe" /mix
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{wTK1-92Tc9-8ODB-tN6DM}\61110489713.exe" /mix
'%WINDIR%\syswow64\cmd.exe' /c cmd < Bisognava.swf
'%WINDIR%\syswow64\cmd.exe'
'%WINDIR%\syswow64\findstr.exe' /V /R "^qcxKbvvNNXdEjdFxkvFHLYLwwjIiKrlvnbexCySrdBbgBkibkuQJjYRwJzIlNfeKNUyPhkSyDBdpAbmQtkVDhApmFqLobIfwmNBGyapZgKyKIIAkTRyCzm$" Guardi.swf
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 30
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit
'%WINDIR%\syswow64\cmd.exe' /c start /b powershell –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\miner.exe"' & exit
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\miner.exe"'