Trojan.Siggen31.55736

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\updater.exe

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /IM msedge.exe /F

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\pkg-fvonc5\5ad24cd4d19ef03079717bd6309fe0604c2a4829cd92788ebf6da95c41d3d28f
%HOMEPATH%\.cache\pkg\f806f89dc41dde00ca7124dc1e649bdc9b08ff2eff5c891b764f3e5aefa9548c\sqlite3\package.json
%TEMP%\pkg-fvonc5\8d6b400ae7f69a80d0cdd37a968d7b9a913661fa53475e5b8de49dda21684973
%HOMEPATH%\.cache\pkg\f806f89dc41dde00ca7124dc1e649bdc9b08ff2eff5c891b764f3e5aefa9548c\sqlite3\lib\sqlite3.js
%TEMP%\pkg-fvonc5\762c7a74d7f92860a3873487b68e89f654a21d2aaeae9524eab5de9c65e66a9c
%HOMEPATH%\.cache\pkg\f806f89dc41dde00ca7124dc1e649bdc9b08ff2eff5c891b764f3e5aefa9548c\sqlite3\lib\sqlite3-binding.js
%TEMP%\pkg-fvonc5\d06caec6136120c6fb7ee3681b1ca949e8b634e747ea8d3080c90f35aeb7728f
%HOMEPATH%\.cache\pkg\f806f89dc41dde00ca7124dc1e649bdc9b08ff2eff5c891b764f3e5aefa9548c\sqlite3\lib\trace.js
%TEMP%\pkg-fvonc5\b9a7b76665d92af2d90cc6a15ffdc1a79635559cbc1c40bd1f83c4c4449cd442
%HOMEPATH%\.cache\pkg\f806f89dc41dde00ca7124dc1e649bdc9b08ff2eff5c891b764f3e5aefa9548c\sqlite3\build\release\node_sqlite3.node
%TEMP%\pkg-fvonc5\1d3bfe941be84e8d0d1a7e61c1bb62c89590794c6134ab1e1f8ba7acf9c82375
%HOMEPATH%\.cache\pkg\f806f89dc41dde00ca7124dc1e649bdc9b08ff2eff5c891b764f3e5aefa9548c\sqlite3\build\release\sqlite.node
%TEMP%\pkg-fvonc5\d3a788312c56e9ac2e8d70d3074d94dd4c82abcdef0a1361497b4711cf073a71
%HOMEPATH%\.cache\pkg\042952fabdd38a3b84572bd8f5e4697152ce8491eb3fe620d2a140ef3d4330d5\node-dpapi-prebuilt\package.json
%TEMP%\pkg-fvonc5\cd7d764453f5ad1e02558f1ca98c18f0d28786633c4ea8254858011a4d0eeed6
%HOMEPATH%\.cache\pkg\042952fabdd38a3b84572bd8f5e4697152ce8491eb3fe620d2a140ef3d4330d5\node-dpapi-prebuilt\index.js
%TEMP%\pkg-fvonc5\4ffd787b2864836655710ed9dcbb26b53f799e4ce15dfb820e2f8bc8ad55d0b0
%HOMEPATH%\.cache\pkg\042952fabdd38a3b84572bd8f5e4697152ce8491eb3fe620d2a140ef3d4330d5\node-dpapi-prebuilt\bin\arm64\node-dpapi.node
%TEMP%\pkg-fvonc5\36bff5188c2d75ece4cca1162b3d171c81f1f4703613b358cafc2e9e86610cc6
%HOMEPATH%\.cache\pkg\042952fabdd38a3b84572bd8f5e4697152ce8491eb3fe620d2a140ef3d4330d5\node-dpapi-prebuilt\bin\ia32\node-dpapi.node
%TEMP%\pkg-fvonc5\a0c8843d23ff42ed119a872e4ecbe88fbe80b33095d33f28802c753789cc2669
%HOMEPATH%\.cache\pkg\042952fabdd38a3b84572bd8f5e4697152ce8491eb3fe620d2a140ef3d4330d5\node-dpapi-prebuilt\bin\x64\node-dpapi.node
%HOMEPATH%\.cache\pkg\04d9faa3c6e7072a00a6894dbe24678d4b728c96f47e2fd01cf822f30b6e609a\sqlite3\package.json
%HOMEPATH%\.cache\pkg\04d9faa3c6e7072a00a6894dbe24678d4b728c96f47e2fd01cf822f30b6e609a\sqlite3\lib\sqlite3.js
%HOMEPATH%\.cache\pkg\04d9faa3c6e7072a00a6894dbe24678d4b728c96f47e2fd01cf822f30b6e609a\sqlite3\lib\sqlite3-binding.js
%HOMEPATH%\.cache\pkg\04d9faa3c6e7072a00a6894dbe24678d4b728c96f47e2fd01cf822f30b6e609a\sqlite3\lib\trace.js
%HOMEPATH%\.cache\pkg\04d9faa3c6e7072a00a6894dbe24678d4b728c96f47e2fd01cf822f30b6e609a\sqlite3\build\release\node_sqlite3.node
%HOMEPATH%\.cache\pkg\04d9faa3c6e7072a00a6894dbe24678d4b728c96f47e2fd01cf822f30b6e609a\sqlite3\build\release\sqlite.node
%TEMP%\screencapture\screencapture_1.3.2.bat
%TEMP%\screencapture\app.manifest
%TEMP%\screencapture\csc32c3234a55424d1f80c4837a52ad3638.tmp
%TEMP%\resbfd6.tmp
%TEMP%\screencapture\screencapture_1.3.2.exe
%TEMP%\2025812-4788-hzgugo.noznn.jpg
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\screencapture_1.3.2.exe.log
%TEMP%\9a8o2-data\moi.jpg
nul
%TEMP%\the9b4.tmp
%TEMP%\moixd-ru-185.93.40.66.zip

Сетевая активность

Подключается к

'my####rnalip.com':443
'ip##pi.com':80
'ap#.##legram.org':443

TCP

Запросы HTTP GET

http://ip##pi.com/json/185.93.40.66?fi################

Другие

'my####rnalip.com':443
'ap#.##legram.org':443

UDP

DNS ASK my####rnalip.com
DNS ASK ip##pi.com
DNS ASK ap#.##legram.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\screencapture\screencapture_1.3.2.exe' "%TEMP%\2025812-4788-hzgugo.noznn.jpg"

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /d /s /c ""%TEMP%\screenCapture\screenCapture_1.3.2.bat" "%TEMP%\2025812-4788-hzgugo.noznn.jpg" " (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' \nologo \r:"Microsoft.VisualBasic.dll" \win32manifest:"app.manifest" \out:"screenCapture_1.3.2.exe" "%TEMP%\SCREEN~1\SCREEN~1.BAT"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBFD6.tmp" "%TEMP%\screenCapture\CSC32C3234A55424D1F80C4837A52AD3638.TMP" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM msedge.exe /F" (со скрытым окном)
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' 2