Trojan.Siggen18.19330

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\lsassl
<SYSTEM32>\tasks\lsass
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\wudfhostw
<SYSTEM32>\tasks\wudfhost
<SYSTEM32>\tasks\explorer
<SYSTEM32>\tasks\explorere

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

wudfhost.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

C:\far2\encyclopedia\tap\lsass.exe
%TEMP%\blmo8fjj7m
%TEMP%\lp2svm6ueo
%TEMP%\crytuwrfgw
%TEMP%\iqvkuu2wg9
%TEMP%\rs87lceorj
%TEMP%\w5ks7drz6f
%TEMP%\55spqg03ng
%TEMP%\rcxep2fyxd
%TEMP%\fsepqlcnft
%TEMP%\uoe2e1shbd
%TEMP%\oohnoudby3
%TEMP%\rvr4miqvwp
%TEMP%\kes7mzepny
%TEMP%\8ay32mqyyv
%TEMP%\wxlhx9lc1r
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\480b7989c529f6
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\wudfhost.exe
C:\far2\documentation\eng\7a0fd90576e088
C:\far2\documentation\eng\explorer.exe
%ProgramFiles(x86)%\mirc\defaults\480b7989c529f6
%ProgramFiles(x86)%\mirc\defaults\wudfhost.exe
C:\users\public\videos\sample videos\6ccacd8608530f
C:\users\public\videos\sample videos\idle.exe
C:\far2\pluginsdk\headers.c\9db6e019d4f04e
C:\far2\pluginsdk\headers.c\iexplore.exe
C:\far2\encyclopedia\tap\6203df4a6bafc7
%TEMP%\mabelweaf0
%TEMP%\uiif72ydzs

Удаляет следующие файлы

%TEMP%\wxlhx9lc1r
%TEMP%\blmo8fjj7m
%TEMP%\lp2svm6ueo
%TEMP%\crytuwrfgw
%TEMP%\iqvkuu2wg9
%TEMP%\rs87lceorj
%TEMP%\w5ks7drz6f
%TEMP%\kes7mzepny
%TEMP%\55spqg03ng
%TEMP%\fsepqlcnft
%TEMP%\uoe2e1shbd
%TEMP%\oohnoudby3
%TEMP%\rvr4miqvwp
%TEMP%\8ay32mqyyv
%TEMP%\mabelweaf0
%TEMP%\rcxep2fyxd
%TEMP%\uiif72ydzs

Сетевая активность

Подключается к

'23.##7.193.58':80
'ip##fo.io':443
'ap#.##legram.org':443

TCP

Запросы HTTP GET

http://23.##7.193.58/trackwordpressdleCentral.php?Yj#############################################################################################################################################...
http://23.##7.193.58/trackwordpressdleCentral.php?ea#############################################################################################################################################...

Другие

'ip##fo.io':443
'ap#.##legram.org':443

UDP

DNS ASK ip##fo.io
DNS ASK ap#.##legram.org

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\mirc\defaults\wudfhost.exe'
'%ProgramFiles(x86)%\mirc\defaults\wudfhost.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 8 /tr "'C:\Far2\Encyclopedia\tap\lsass.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 6 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\WUDFHost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 12 /tr "'C:\Far2\Documentation\eng\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\Far2\Documentation\eng\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 6 /tr "'C:\Far2\Documentation\eng\explorer.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 6 /tr "'%ProgramFiles(x86)%\mIRC\defaults\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\mIRC\defaults\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 6 /tr "'%ProgramFiles(x86)%\mIRC\defaults\WUDFHost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 12 /tr "'C:\Users\Public\Videos\Sample Videos\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\Users\Public\Videos\Sample Videos\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 7 /tr "'C:\Users\Public\Videos\Sample Videos\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'C:\Far2\PluginSDK\Headers.c\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Far2\PluginSDK\Headers.c\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 13 /tr "'C:\Far2\PluginSDK\Headers.c\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 14 /tr "'C:\Far2\Encyclopedia\tap\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\Far2\Encyclopedia\tap\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 10 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\WUDFHost.exe'" /rl HIGHEST /f