Trojan.Siggen21.40571

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wudfhostw
<SYSTEM32>\tasks\wudfhost
<SYSTEM32>\tasks\wininit
<SYSTEM32>\tasks\wininitw
<SYSTEM32>\tasks\audiodga
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\audiodg

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\livekernelreports\wudfhost.exe
%HOMEPATH%\desktop\ugyrfsxi.log
%HOMEPATH%\desktop\knfgskwf.log
%HOMEPATH%\desktop\hmzkochi.log
%HOMEPATH%\desktop\rltgvzru.log
%TEMP%\u3h17qfdw8
%TEMP%\sqbb6p7qvu
%TEMP%\wlnt4xniyc
%TEMP%\xt5uz9y2wh
%TEMP%\80hdqstes6
%TEMP%\xxhra9uhl6
%TEMP%\bf4ovfdjdm
%TEMP%\ejzbwhupjs
%TEMP%\g0mbtlt0nq
%TEMP%\7l2vfawl4o
%TEMP%\ctedqohp5t
%HOMEPATH%\desktop\vbtmjrxf.log
%TEMP%\op7tak33eu
%HOMEPATH%\desktop\gaxxwinj.log
%HOMEPATH%\desktop\rpldnpnj.log
%WINDIR%\livekernelreports\480b7989c529f6
<Текущая директория>\wininit.exe
<Текущая директория>\56085415360792
%WINDIR%\tapi\wudfhost.exe
%WINDIR%\tapi\480b7989c529f6
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\dwm.exe
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\6cb0b6c459d5d3
%WINDIR%\pchealth\errorrep\qsignoff\audiodg.exe
%WINDIR%\pchealth\errorrep\qsignoff\42af1c969fbb7b
%TEMP%\w8qkg0jgju
%TEMP%\5uvn2nrzgm.bat
nul
%HOMEPATH%\desktop\qcdydlyk.log
%HOMEPATH%\desktop\kgyihuxy.log
%HOMEPATH%\desktop\bxesxssr.log
%HOMEPATH%\desktop\hqhsayxf.log
%TEMP%\wngmodre6v

Удаляет следующие файлы

%TEMP%\w8qkg0jgju
%TEMP%\u3h17qfdw8

Сетевая активность

Подключается к

'21#.#13.106.125':80

TCP

Запросы HTTP POST

http://21#.#13.106.125/Windows/DownloadsLongpoll/GeneratorImage/wordpress/Wp6datalife0/phpJavascripthttpprotectFlower.php

UDP

'localhost':123

Другое

Создает и запускает на исполнение

'<Текущая директория>\wininit.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\5uVn2NrZGM.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 10 /tr "'%WINDIR%\LiveKernelReports\WUDFHost.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\5uVn2NrZGM.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "audiodga" /sc MINUTE /mo 5 /tr "'%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\audiodg.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "audiodg" /sc ONLOGON /tr "'%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\audiodg.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "audiodga" /sc MINUTE /mo 11 /tr "'%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\audiodg.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 6 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 6 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 6 /tr "'%WINDIR%\TAPI\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%WINDIR%\TAPI\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 8 /tr "'%WINDIR%\TAPI\WUDFHost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 7 /tr "'<Текущая директория>\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'<Текущая директория>\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 13 /tr "'<Текущая директория>\wininit.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 8 /tr "'%WINDIR%\LiveKernelReports\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%WINDIR%\LiveKernelReports\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2