Trojan.Siggen18.14404

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\explorere
<SYSTEM32>\tasks\explorer
<SYSTEM32>\tasks\lsml
<SYSTEM32>\tasks\lsm
<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\dwm

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles%\firefox\chrome\browser\content\branding\iexplore.exe
%TEMP%\dh1y7mtpwi
%TEMP%\to9tecixzm
%TEMP%\izagsvsmlr
%TEMP%\nehpkbbaat
%TEMP%\djuukz2m6l
%TEMP%\g046k0eyby
%TEMP%\m2halvuykk
%TEMP%\lnjlhodaih
%TEMP%\epmwuj0mo3
%TEMP%\ucjlcbyezq
%TEMP%\fht4avbprh
%TEMP%\5rlnwts91k
%TEMP%\usg8j4qaox
%TEMP%\uec8lkf1kp
%TEMP%\tmqqxlxuss
nul
%TEMP%\mv7yvwsfn5.bat
%TEMP%\9m2asg4zgw
%ProgramFiles(x86)%\steam\6cb0b6c459d5d3
%ProgramFiles(x86)%\steam\dwm.exe
%ALLUSERSPROFILE%\mozilla\logs\b75386f1303e64
%ALLUSERSPROFILE%\mozilla\logs\taskhost.exe
C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\101b941d020240
C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\lsm.exe
<Текущая директория>\7a0fd90576e088
<Текущая директория>\explorer.exe
%WINDIR%\syswow64\ru-ru\9db6e019d4f04e
%WINDIR%\syswow64\ru-ru\iexplore.exe
%ProgramFiles%\firefox\chrome\browser\content\branding\9db6e019d4f04e
%TEMP%\ydyrznjyby
%TEMP%\qplpciexlr

Удаляет следующие файлы

%TEMP%\9m2asg4zgw
%TEMP%\dh1y7mtpwi
%TEMP%\to9tecixzm
%TEMP%\izagsvsmlr
%TEMP%\nehpkbbaat
%TEMP%\djuukz2m6l
%TEMP%\g046k0eyby
%TEMP%\m2halvuykk
%TEMP%\lnjlhodaih
%TEMP%\epmwuj0mo3
%TEMP%\ucjlcbyezq
%TEMP%\fht4avbprh
%TEMP%\5rlnwts91k
%TEMP%\usg8j4qaox
%TEMP%\uec8lkf1kp
%TEMP%\tmqqxlxuss
%TEMP%\ydyrznjyby
%TEMP%\qplpciexlr

Сетевая активность

Подключается к

'a0####57.xsph.ru':80

TCP

Запросы HTTP GET

http://a0####57.xsph.ru/pollApi.php?R2###########################################################################################################################################################...
http://a0####57.xsph.ru/pollApi.php?ih###########################################################################################################################################################...

UDP

DNS ASK a0####57.xsph.ru
'localhost':123

Другое

Создает и запускает на исполнение

'C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\lsm.exe'
'%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\MV7YVWsfn5.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\FireFox\chrome\browser\content\branding\iexplore.exe'" /f
'%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\MV7YVWsfn5.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 12 /tr "'%ProgramFiles(x86)%\Steam\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Steam\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 8 /tr "'%ProgramFiles(x86)%\Steam\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 5 /tr "'%ALLUSERSPROFILE%\Mozilla\logs\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Mozilla\logs\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 6 /tr "'%ALLUSERSPROFILE%\Mozilla\logs\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 13 /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\lsm.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
'<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 7 /tr "'<Текущая директория>\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'<Текущая директория>\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 5 /tr "'<Текущая директория>\explorer.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 9 /tr "'<SYSTEM32>\ru-RU\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<SYSTEM32>\ru-RU\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 13 /tr "'<SYSTEM32>\ru-RU\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 11 /tr "'%ProgramFiles%\FireFox\chrome\browser\content\branding\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles%\FireFox\chrome\browser\content\branding\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\lsm.exe'" /f
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2