Trojan.Siggen27.22485

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AdobeUpdaterV1_b169c3872385b2c3c15a1f5f96f34ffe' = '%LOCALAPPDATA%\AdobeUpdaterV1_b169c3872385b2c3c15a1f5f96f34ffe\AdobeUpdaterV1.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AdobeUpdaterV1_a43486128347910740fccfba86a78a02' = '%LOCALAPPDATA%\AdobeUpdaterV1_a43486128347910740fccfba86a78a02\AdobeUpdaterV1.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\msiupdaterv1_b169c3872385b2c3c15a1f5f96f34ffe hr
<SYSTEM32>\tasks\msiupdaterv1_b169c3872385b2c3c15a1f5f96f34ffe lg
<SYSTEM32>\tasks\msiupdaterv1_a43486128347910740fccfba86a78a02 hr
<SYSTEM32>\tasks\msiupdaterv1_a43486128347910740fccfba86a78a02 lg

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\mozilla\firefox\profiles.ini
%APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\signons.sqlite
%APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\signons.sqlite
%APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\signons.sqlite
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\thunderbird\profiles.ini
%APPDATA%\thunderbird\profiles\49zr3fqa.default\signons.sqlite
%APPDATA%\thunderbird\profiles\npsdfqy3.default-release\signons.sqlite

Изменения в файловой системе

Создает следующие файлы

%TEMP%\heidia4j1fzmltema\02zdbxl47cvzformhistory.sqlite
%TEMP%\heidia4j1fzmltema\mxe5xydvwfwifukwo_dj.exe
%ALLUSERSPROFILE%\msiupdaterv1_b169c3872385b2c3c15a1f5f96f34ffe\msiupdaterv1.exe
%LOCALAPPDATA%\adobeupdaterv1_b169c3872385b2c3c15a1f5f96f34ffe\adobeupdaterv1.exe
%TEMP%\heidia4j1fzmltema\7pamnzevcfmvnnnd1nbp.exe
%TEMP%\egnlvq0xljy9whonxyjmrl6.zip
%TEMP%\adobea4j1fzmltema\screenshot.png
%TEMP%\adobea4j1fzmltema\information.txt
%TEMP%\adobea4j1fzmltema\passwords.txt
%TEMP%\heidia4j1fzmltema\pse1jchbit9aplaces.sqlite
%TEMP%\heidia4j1fzmltema\2jqjv37ij0lzcookies.sqlite
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\heidia4j1fzmltema\l6w3nvxsgpmdplaces.sqlite
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\heidia4j1fzmltema\suorww4zcubjformhistory.sqlite
%LOCALAPPDATA%\adobeupdaterv1_a43486128347910740fccfba86a78a02\adobeupdaterv1.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\heidia4j1fzmltema\jx0oqi4nztiqplaces.sqlite
%TEMP%\heidia4j1fzmltema\kvhrxj77cmugplaces.sqlite
%TEMP%\heidia4j1fzmltema\qdx9itdlycrbcookies.sqlite
%TEMP%\heidia4j1fzmltema\qdx9itdlycrbweb data
%TEMP%\heidia4j1fzmltema\iwpfiaxutjtshistory
%TEMP%\heidia4j1fzmltema\iwpfiaxutjtscookies.sqlite
%TEMP%\heidia4j1fzmltema\5lop_s5wm5ercookies
%TEMP%\heidia4j1fzmltema\3b6n2xdh3cywweb data
%TEMP%\heidia4j1fzmltema\02zdbxl47cvzhistory
%TEMP%\heidia4j1fzmltema\oopemfmu_xsjplaces.sqlite
%TEMP%\heidia4j1fzmltema\d87fzn3r3jfeweb data
%TEMP%\heidia4j1fzmltema\ei8dramayu9klogin data
%TEMP%\heidia4j1fzmltema\5lop_s5wm5erplaces.sqlite
%TEMP%\heidia4j1fzmltema\3b6n2xdh3cywformhistory.sqlite
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\msiupdaterv1_a43486128347910740fccfba86a78a02\msiupdaterv1.exe

Удаляет следующие файлы

%TEMP%\heidia4j1fzmltema\02zdbxl47cvzformhistory.sqlite
%TEMP%\heidia4j1fzmltema\2jqjv37ij0lzcookies.sqlite
%TEMP%\heidia4j1fzmltema\l6w3nvxsgpmdplaces.sqlite
%TEMP%\heidia4j1fzmltema\suorww4zcubjformhistory.sqlite
%TEMP%\heidia4j1fzmltema\jx0oqi4nztiqplaces.sqlite
%TEMP%\heidia4j1fzmltema\kvhrxj77cmugplaces.sqlite
%TEMP%\heidia4j1fzmltema\qdx9itdlycrbcookies.sqlite
%TEMP%\heidia4j1fzmltema\qdx9itdlycrbweb data
%TEMP%\heidia4j1fzmltema\iwpfiaxutjtscookies.sqlite
%TEMP%\heidia4j1fzmltema\iwpfiaxutjtshistory
%TEMP%\heidia4j1fzmltema\oopemfmu_xsjplaces.sqlite
%TEMP%\heidia4j1fzmltema\5lop_s5wm5ercookies
%TEMP%\heidia4j1fzmltema\3b6n2xdh3cywweb data
%TEMP%\heidia4j1fzmltema\02zdbxl47cvzhistory
%TEMP%\heidia4j1fzmltema\d87fzn3r3jfeweb data
%TEMP%\heidia4j1fzmltema\5lop_s5wm5erplaces.sqlite
%TEMP%\heidia4j1fzmltema\ei8dramayu9klogin data
%TEMP%\heidia4j1fzmltema\3b6n2xdh3cywformhistory.sqlite
%TEMP%\heidia4j1fzmltema\pse1jchbit9aplaces.sqlite
%TEMP%\egnlvq0xljy9whonxyjmrl6.zip

Сетевая активность

Подключается к

'19#.#33.132.67':50500
'ip##fo.io':443
'db##p.com':443
'ma##ind.com':80
'19#.#0.16.46':80
'19#.#33.132.197':80

TCP

Запросы HTTP GET

http://www.ma##ind.com/geoip/v2.1/city/me
http://19#.#0.16.46/download/RetailerRise.exe
http://19#.#33.132.197/crypted.exe

Другие

'19#.#33.132.67':50500
'ip##fo.io':443
'db##p.com':443

UDP

DNS ASK ip##fo.io
DNS ASK db##p.com
DNS ASK ma##ind.com

Другое

Создает и запускает на исполнение

'%TEMP%\heidia4j1fzmltema\7pamnzevcfmvnnnd1nbp.exe'
'%TEMP%\heidia4j1fzmltema\mxe5xydvwfwifukwo_dj.exe'

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MSIUpdaterV1_b169c3872385b2c3c15a1f5f96f34ffe\MSIUpdaterV1.exe" /tn "MSIUpdaterV1_b169c3872385b2c3c15a1f5f96f34ffe HR" /sc HOURLY /rl HIGHEST
'%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MSIUpdaterV1_b169c3872385b2c3c15a1f5f96f34ffe\MSIUpdaterV1.exe" /tn "MSIUpdaterV1_b169c3872385b2c3c15a1f5f96f34ffe LG" /sc ONLOGON /rl HIGHEST
'%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MSIUpdaterV1_a43486128347910740fccfba86a78a02\MSIUpdaterV1.exe" /tn "MSIUpdaterV1_a43486128347910740fccfba86a78a02 HR" /sc HOURLY /rl HIGHEST
'%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MSIUpdaterV1_a43486128347910740fccfba86a78a02\MSIUpdaterV1.exe" /tn "MSIUpdaterV1_a43486128347910740fccfba86a78a02 LG" /sc ONLOGON /rl HIGHEST