Trojan.Siggen32.27017

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\chromelevator_x64.exe
%TEMP%\chrome_decrypt_x64.dll
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\chrome_nuke_backup\login data
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\chrome_nuke_backup\web data
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\chrome_nuke_backup\local state
nul
%TEMP%\login data
%TEMP%\web data
%TEMP%\sensfiles.zip
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\sensfiles.zip
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\user_info.txt
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\screen1.png
%TEMP%\out.zip

Удаляет файлы, которые сам же создал

%TEMP%\chromelevator_x64.exe
%TEMP%\chrome_decrypt_x64.dll
%TEMP%\out.zip
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\chrome_nuke_backup\local state
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\chrome_nuke_backup\login data
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\chrome_nuke_backup\web data
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\screen1.png
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\sensfiles.zip
%TEMP%\idjsbu06swgvoqiafe9mtpnhyppnxl\user_info.txt

Изменяет следующие файлы

Подменяет следующие файлы

%TEMP%\chromelevator_x64.exe
%TEMP%\chrome_decrypt_x64.dll

Сетевая активность

Подключается к

'ip##o.is':80
'ap#.##legram.org':443

TCP

Запросы HTTP GET

/?ou######### via ip##o.is

Другие

'ap#.##legram.org':443

UDP

DNS ASK ip##o.is
DNS ASK ap#.##legram.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\chromelevator_x64.exe' chrome %TEMP%\chrome_decrypt_x64.dll

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Set-MpPreference -ExclusionPath C:\\"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -Command "Get-Culture | Select -ExpandProperty DisplayName"
'<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default" %TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke_backup "Login Data" "Login Data" /B /COPY:DAT /R:0 /W:0 /NP
'<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network" %TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke_backup Cookies Cookies /B /COPY:DAT /R:0 /W:0 /NP
'<SYSTEM32>\cmd.exe' /C xcopy /Y /H /R /K /C "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies" %TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke_backup\Cookies
'<SYSTEM32>\xcopy.exe' /Y /H /R /K /C "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies" %TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke_backup\Cookies
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "[System.IO.File]::ReadAllBytes('%LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies') | [System.IO.File]::WriteAllBytes('%TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke...
'<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data\Default" %TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke_backup "Web Data" "Web Data" /B /COPY:DAT /R:0 /W:0 /NP
'<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Google\Chrome\User Data" %TEMP%\\idJSBu06sWGVoqIAfE9MTPnhyPPNXL\\chrome_nuke_backup "Local State" "Local State" /B /COPY:DAT /R:0 /W:0 /NP
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
'<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Microsoft\Edge\User Data\Default" %LOCALAPPDATA%\Temp "Login Data" microsoft_default_login_data /B /COPY:DAT /R:0 /W:0 /NP
'<SYSTEM32>\robocopy.exe' "%LOCALAPPDATA%\Microsoft\Edge\User Data\Default" %LOCALAPPDATA%\Temp "Web Data" microsoft_default_webdata /B /COPY:DAT /R:0 /W:0 /NP
'<SYSTEM32>\robocopy.exe' "%APPDATA%\Opera Software\Opera Stable" %LOCALAPPDATA%\Temp "Login Data" "opera software_opera stable_login_data" /B /COPY:DAT /R:0 /W:0 /NP
'<SYSTEM32>\robocopy.exe' "%APPDATA%\Opera Software\Opera Stable" %LOCALAPPDATA%\Temp "Web Data" "opera software_opera stable_webdata" /B /COPY:DAT /R:0 /W:0 /NP