Trojan.Siggen31.57273

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM Amigo.exe
'<SYSTEM32>\taskkill.exe' /F /IM Torch.exe
'<SYSTEM32>\taskkill.exe' /F /IM Kometa.exe
'<SYSTEM32>\taskkill.exe' /F /IM Orbitum.exe
'<SYSTEM32>\taskkill.exe' /F /IM CentBrowser.exe
'<SYSTEM32>\taskkill.exe' /F /IM 7Star.exe
'<SYSTEM32>\taskkill.exe' /F /IM Sputnik.exe
'<SYSTEM32>\taskkill.exe' /F /IM Vivaldi.exe
'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
'<SYSTEM32>\taskkill.exe' /F /IM EpicPrivacyBrowser.exe
'<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
'<SYSTEM32>\taskkill.exe' /F /IM uran.exe
'<SYSTEM32>\taskkill.exe' /F /IM yandex.exe
'<SYSTEM32>\taskkill.exe' /F /IM brave.exe
'<SYSTEM32>\taskkill.exe' /F /IM iridium.exe
'<SYSTEM32>\taskkill.exe' /F /IM firefox.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\onefile_1832_134027858963851668\legit.exe
%TEMP%\onefile_1832_134027858963851668\_asyncio.pyd
%TEMP%\onefile_1832_134027858963851668\_bz2.pyd
%TEMP%\onefile_1832_134027858963851668\_cffi_backend.pyd
%TEMP%\onefile_1832_134027858963851668\_ctypes.pyd
%TEMP%\onefile_1832_134027858963851668\_decimal.pyd
%TEMP%\onefile_1832_134027858963851668\_elementtree.pyd
%TEMP%\onefile_1832_134027858963851668\_hashlib.pyd
%TEMP%\onefile_1832_134027858963851668\_lzma.pyd
%TEMP%\onefile_1832_134027858963851668\_multiprocessing.pyd
%TEMP%\onefile_1832_134027858963851668\_overlapped.pyd
%TEMP%\onefile_1832_134027858963851668\_queue.pyd
%TEMP%\onefile_1832_134027858963851668\_socket.pyd
%TEMP%\onefile_1832_134027858963851668\_sqlite3.pyd
%TEMP%\onefile_1832_134027858963851668\_ssl.pyd
%TEMP%\onefile_1832_134027858963851668\_tkinter.pyd
%TEMP%\onefile_1832_134027858963851668\_uuid.pyd
%TEMP%\onefile_1832_134027858963851668\_win32sysloader.pyd
%TEMP%\onefile_1832_134027858963851668\libcrypto-1_1.dll
%TEMP%\onefile_1832_134027858963851668\libffi-7.dll
%TEMP%\onefile_1832_134027858963851668\libssl-1_1.dll
%TEMP%\onefile_1832_134027858963851668\mfc140u.dll
%TEMP%\onefile_1832_134027858963851668\pyexpat.pyd
%TEMP%\onefile_1832_134027858963851668\python3.dll
%TEMP%\onefile_1832_134027858963851668\python310.dll
%TEMP%\onefile_1832_134027858963851668\pythoncom310.dll
%TEMP%\onefile_1832_134027858963851668\pywintypes310.dll
%TEMP%\onefile_1832_134027858963851668\select.pyd
%TEMP%\onefile_1832_134027858963851668\sqlite3.dll
%TEMP%\onefile_1832_134027858963851668\tcl86t.dll
%TEMP%\onefile_1832_134027858963851668\tk86t.dll
%TEMP%\onefile_1832_134027858963851668\unicodedata.pyd
%TEMP%\onefile_1832_134027858963851668\vcruntime140.dll
%TEMP%\onefile_1832_134027858963851668\vcruntime140_1.dll
%TEMP%\onefile_1832_134027858963851668\win32api.pyd
%TEMP%\onefile_1832_134027858963851668\win32crypt.pyd
%TEMP%\onefile_1832_134027858963851668\win32ui.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_salsa20.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_aes.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_aesni.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_cbc.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_cfb.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ctr.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ecb.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_eksblowfish.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ocb.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ofb.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_blake2s.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_md5.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha1.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha224.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha256.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha384.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha512.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_ghash_clmul.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_ghash_portable.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\hash\_keccak.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\protocol\_scrypt.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\util\_cpuid_c.pyd
%TEMP%\onefile_1832_134027858963851668\crypto\util\_strxor.pyd
%TEMP%\onefile_1832_134027858963851668\pil\_imaging.pyd
%TEMP%\onefile_1832_134027858963851668\pil\_imagingcms.pyd
%TEMP%\onefile_1832_134027858963851668\pil\_imagingmath.pyd
%TEMP%\onefile_1832_134027858963851668\pil\_imagingtk.pyd
%TEMP%\onefile_1832_134027858963851668\pil\_webp.pyd
%TEMP%\onefile_1832_134027858963851668\aiohttp\_helpers.pyd
%TEMP%\onefile_1832_134027858963851668\aiohttp\_http_parser.pyd
%TEMP%\onefile_1832_134027858963851668\aiohttp\_http_writer.pyd
%TEMP%\onefile_1832_134027858963851668\aiohttp\_websocket.pyd
%TEMP%\onefile_1832_134027858963851668\certifi\cacert.pem
%TEMP%\onefile_1832_134027858963851668\charset_normalizer\md.pyd
%TEMP%\onefile_1832_134027858963851668\charset_normalizer\md__mypyc.pyd
%TEMP%\onefile_1832_134027858963851668\cryptography\hazmat\bindings\_rust.pyd
%TEMP%\onefile_1832_134027858963851668\frozenlist\_frozenlist.pyd
%TEMP%\onefile_1832_134027858963851668\multidict\_multidict.pyd
%TEMP%\onefile_1832_134027858963851668\psutil\_psutil_windows.pyd
%TEMP%\onefile_1832_134027858963851668\yarl\_helpers_c.pyd
%TEMP%\onefile_1832_134027858963851668\yarl\_quoting_c.pyd
%TEMP%\onefile_1832_134027858963851668\zstandard\_cffi.pyd
%TEMP%\onefile_1832_134027858963851668\zstandard\backend_c.pyd
%TEMP%\gen_py\3.10\__init__.py
%TEMP%\gen_py\3.10\dicts.dat
%TEMP%\_zkmh_09
%TEMP%\tmpq81kcgzn\wifi\wifi passwords.txt
%TEMP%\tmpq81kcgzn\minecraft\session info.txt
%TEMP%\tmpq81kcgzn\minecraft\user cache.txt
%TEMP%\tmpq81kcgzn\discord\2fa backup codes.txt

Сетевая активность

Подключается к

'ap#.#pify.org':443

TCP

Другие

'ap#.#pify.org':443

UDP

DNS ASK ap#.#pify.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\onefile_1832_134027858963851668\legit.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\wbem\WMIC.exe csproduct get uuid" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
'<SYSTEM32>\cmd.exe' /c "netsh wlan show profiles" (со скрытым окном)
'<SYSTEM32>\netsh.exe' wlan show profiles