Trojan.Siggen17.52316

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windows service task

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\vnhax.site_2.0.exe
%TEMP%\tmp8c5.tmp
%TEMP%\tmp8c4.tmp
%TEMP%\tmp8b4.tmp
%TEMP%\tmp8b3.tmp
%TEMP%\tmp8b2.tmp
%TEMP%\tmp8a1.tmp
%TEMP%\tmp891.tmp
%TEMP%\tmp87f.tmp
%TEMP%\tmp8d7.tmp
%TEMP%\tmp87e.tmp
%TEMP%\tmp86d.tmp
%TEMP%\tmp86c.tmp
%TEMP%\tmp85c.tmp
%TEMP%\tmp84b.tmp
%TEMP%\tmp84a.tmp
%TEMP%\tmp890.tmp
%TEMP%\tmp7b1.tmp
%TEMP%\tmp8d8.tmp
%TEMP%\tmp947.tmp
%TEMP%\tmp946.tmp
%TEMP%\tmp945.tmp
%TEMP%\tmp934.tmp
%TEMP%\tmp933.tmp
%TEMP%\tmp932.tmp
%TEMP%\tmp921.tmp
%TEMP%\tmp83a.tmp
%TEMP%\tmp8c6.tmp
%TEMP%\tmp90f.tmp
%TEMP%\tmp90e.tmp
%TEMP%\tmp8fd.tmp
%TEMP%\tmp8fc.tmp
%TEMP%\tmp8fb.tmp
%TEMP%\tmp8eb.tmp
%TEMP%\tmp8ea.tmp
%TEMP%\tmp91f.tmp
%TEMP%\tmp8d9.tmp
%TEMP%\tmp839.tmp
%TEMP%\tmp828.tmp
%TEMP%\tmp817.tmp
%LOCALAPPDATA%\updates\vnhax.site-emulator-hack.vmp.exe
%TEMP%\tmpf491.tmp
%TEMP%\tmpf480.tmp
%TEMP%\tmpf470.tmp
%TEMP%\tmpf450.tmp
%TEMP%\tmpf44f.tmp
%TEMP%\tmpf43e.tmp
%TEMP%\tmp986.tmp
%TEMP%\tmpfa1f.tmp
%LOCALAPPDATA%\updates\windowsservice.exe
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\326fa02\localappdatafolder\updates\windowsservice.exe
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\326fa02\localappdatafolder\updates\vnhax.site-emulator-hack.vmp.exe
%TEMP%\msi60e4.tmp
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\326fa02\vnhax.site-pubg-emulator-hack.msi
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\decoder.dll
%TEMP%\build.exe
%TEMP%\tmpf43d.tmp
%TEMP%\tmp920.tmp
%TEMP%\tmpfa2f.tmp
%TEMP%\tmpfa42.tmp
%TEMP%\tmpfa30.tmp
%TEMP%\tmp816.tmp
%TEMP%\tmp806.tmp
%TEMP%\tmp805.tmp
%TEMP%\tmp7f4.tmp
%TEMP%\tmp7e4.tmp
%TEMP%\tmp7d3.tmp
%TEMP%\tmpfa41.tmp
%TEMP%\tmp7c2.tmp
%TEMP%\tmpfa0e.tmp
%TEMP%\tmp791.tmp
%TEMP%\tmp790.tmp
%TEMP%\tmpfa65.tmp
%TEMP%\tmpfa64.tmp
%TEMP%\tmpfa53.tmp
%TEMP%\tmpfa52.tmp
%TEMP%\tmp7b2.tmp
%TEMP%\tmp997.tmp

Удаляет следующие файлы

%TEMP%\msi60e4.tmp
%TEMP%\tmp8d7.tmp
%TEMP%\tmp8c4.tmp
%TEMP%\tmp8c5.tmp
%TEMP%\tmp8b3.tmp
%TEMP%\tmp8b4.tmp
%TEMP%\tmp8a1.tmp
%TEMP%\tmp8d9.tmp
%TEMP%\tmp8c6.tmp
%TEMP%\tmp891.tmp
%TEMP%\tmp87e.tmp
%TEMP%\tmp87f.tmp
%TEMP%\tmp86c.tmp
%TEMP%\tmp86d.tmp
%TEMP%\tmp84b.tmp
%TEMP%\tmp8b2.tmp
%TEMP%\tmpfa52.tmp
%TEMP%\tmp8d8.tmp
%TEMP%\tmp946.tmp
%TEMP%\tmp947.tmp
%TEMP%\tmp934.tmp
%TEMP%\tmp945.tmp
%TEMP%\tmp932.tmp
%TEMP%\tmp933.tmp
%TEMP%\tmp920.tmp
%TEMP%\tmp921.tmp
%TEMP%\tmp90f.tmp
%TEMP%\tmp91f.tmp
%TEMP%\tmp8fd.tmp
%TEMP%\tmp90e.tmp
%TEMP%\tmp8fb.tmp
%TEMP%\tmp8fc.tmp
%TEMP%\tmp8ea.tmp
%TEMP%\tmp85c.tmp
%TEMP%\tmp890.tmp
%TEMP%\tmp83a.tmp
%TEMP%\tmp84a.tmp
%TEMP%\tmp828.tmp
%TEMP%\tmpf450.tmp
%TEMP%\tmpfa2f.tmp
%TEMP%\tmpfa1f.tmp
%TEMP%\tmpfa0e.tmp
%TEMP%\tmpf491.tmp
%TEMP%\tmpf480.tmp
%TEMP%\tmpf470.tmp
%TEMP%\tmpf44f.tmp
%TEMP%\tmpfa41.tmp
%TEMP%\tmpf43e.tmp
%TEMP%\tmpf43d.tmp
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\326fa02\vnhax.site-pubg-emulator-hack.msi
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\326fa02\localappdatafolder\updates\windowsservice.exe
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\326fa02\localappdatafolder\updates\vnhax.site-emulator-hack.vmp.exe
%APPDATA%\vnhax.site\vnhax.site - emulator 1.0.0\install\decoder.dll
%TEMP%\tmp997.tmp
%TEMP%\tmp8eb.tmp
%TEMP%\tmpfa42.tmp
%TEMP%\tmpfa64.tmp
%TEMP%\tmpfa30.tmp
%TEMP%\tmp839.tmp
%TEMP%\tmp816.tmp
%TEMP%\tmp817.tmp
%TEMP%\tmp805.tmp
%TEMP%\tmp806.tmp
%TEMP%\tmp7e4.tmp
%TEMP%\tmp7f4.tmp
%TEMP%\tmp7c2.tmp
%TEMP%\tmp7d3.tmp
%TEMP%\tmp7b1.tmp
%TEMP%\tmp7b2.tmp
%TEMP%\tmp790.tmp
%TEMP%\tmp791.tmp
%TEMP%\tmpfa65.tmp
%TEMP%\tmpfa53.tmp
%TEMP%\tmp986.tmp

Сетевая активность

Подключается к

'92.##.241.52':13672
'ap#.ip.sb':443

TCP

Запросы HTTP POST

http://92.##.241.52:13672/ via 92.##.241.52

Другие

'ap#.ip.sb':443

UDP

DNS ASK ap#.ip.sb

Другое

Создает и запускает на исполнение

'%TEMP%\vnhax.site_2.0.exe'
'%TEMP%\build.exe'
'%LOCALAPPDATA%\updates\windowsservice.exe'
'%LOCALAPPDATA%\updates\vnhax.site-emulator-hack.vmp.exe'

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%APPDATA%\VnHax.site\VnHax.Site - Emulator 1.0.0\install\326FA02\VnHax.site-PUBG-Emulator-Hack.msi" /quiet /qn AI_SETUPEXEPATH=%TEMP%\vnhax.site_2.0.exe SETUPEXEDIR=%TEMP%\ EXE_CMD_LINE="/e...