Trojan.Siggen32.27204

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /T /IM chrome.exe /IM msedge.exe /IM brave.exe /IM opera.exe /IM vivaldi.exe /IM chromium.exe /IM yandex.exe /IM iridium.exe /IM slimjet.exe /IM torch.exe /IM coccoc.exe /IM centbrowser.exe ...
'<SYSTEM32>\taskkill.exe' /F /T /IM WhatsApp.exe /IM Signal.exe /IM Slack.exe /IM Teams.exe /IM Skype.exe /IM Zoom.exe /IM Viber.exe /IM LINE.exe /IM WeChat.exe /IM KakaoTalk.exe /IM QQ.exe /IM Messenger.exe /IM Wickr.e...
'<SYSTEM32>\taskkill.exe' /F /T /IM KeePassXC.exe /IM RoboForm.exe /IM Enpass.exe /IM NordPass.exe /IM Keeper.exe /IM "Sticky Password.exe" /IM NordVPN.exe /IM ExpressVPN.exe /IM Surfshark.exe /IM CyberGhost.exe /IM Pro...
'<SYSTEM32>\taskkill.exe' /F /T /IM atom.exe /IM brackets.exe /IM WebStorm.exe /IM PyCharm.exe /IM IntelliJ.exe /IM eclipse.exe /IM VisualStudio.exe /IM FileZilla.exe /IM qBittorrent.exe /IM uTorrent.exe /IM Transmissio...

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\sdkfailsafeemulator.cer
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\tree_view.htm
%HOMEPATH%\desktop\ituneshelpunavailable.htm

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\update\sender.exe
%LOCALAPPDATA%\microsoft\windows\update\logs\backup_log.txt
%LOCALAPPDATA%\microsoft\windows\update\output\.tmpw3q5pv
%TEMP%\elv_df8a4fe0-70ba-4bbb-bfdf-cd355ce91ee1.exe
%TEMP%\hist_586e7be5-162b-4f12-b876-4ae68c8a1345.db
%TEMP%\dl_f84c8218-26ea-47b2-b8a9-14b2a5768964.db
%TEMP%\auto_42746472-e164-4571-9c2d-078552ee8d3a.db
%TEMP%\hist_91f5ad77-c028-421d-adc2-aa5a6d7d820b.db
%TEMP%\dl_58bac365-7799-42ad-a005-af8d86104fd2.db
%TEMP%\auto_acefabc5-b5d1-4387-9a36-76d58957f57d.db
%TEMP%\cookies_d1ee2ff0-47b0-4ba1-9ed2-53474522b8bc.db
%TEMP%\cookies_d1ee2ff0-47b0-4ba1-9ed2-53474522b8bc.db-shm
%TEMP%\hist_312e8fa8-3789-46f8-8972-f6812514f177.db
%TEMP%\hist_312e8fa8-3789-46f8-8972-f6812514f177.db-shm
%TEMP%\dl_0828f402-7b8c-4c72-ae64-cfc6259e25d0.db
%TEMP%\dl_0828f402-7b8c-4c72-ae64-cfc6259e25d0.db-shm
%TEMP%\bm_5f62eef3-239a-487c-a9a4-921eef74d29c.db
%TEMP%\bm_5f62eef3-239a-487c-a9a4-921eef74d29c.db-shm
%TEMP%\perm_30928162-8ae5-4c1c-bb9a-a1b375656ed2.db
%TEMP%\form_61414f86-a16c-4cbe-8eec-07ce0765f0f7.db
%TEMP%\cookies_3290bb84-6971-402c-835c-3bdac16ce1fd.db
%TEMP%\cookies_3290bb84-6971-402c-835c-3bdac16ce1fd.db-shm
%TEMP%\hist_8273c628-a082-4b2a-a421-c77643ba50ff.db
%TEMP%\hist_8273c628-a082-4b2a-a421-c77643ba50ff.db-shm
%TEMP%\dl_1f06c510-f120-49ee-adf8-bb4d7475409a.db
%TEMP%\dl_1f06c510-f120-49ee-adf8-bb4d7475409a.db-shm
%TEMP%\bm_be73b793-8d72-49fa-a05e-5e42e0e92dfe.db
%TEMP%\bm_be73b793-8d72-49fa-a05e-5e42e0e92dfe.db-shm
%TEMP%\perm_6b1fa42c-d698-42eb-8f94-7410edee9b66.db
%TEMP%\form_4c4ace4e-a273-4a16-9660-5897775e6ac6.db
%LOCALAPPDATA%\microsoft\windows\update\output\185_93_40_66_8cf7b530613e439ba8c5ccfc0e745400_20260301_065314.zip
%TEMP%\sd_ff050fdc-a894-41db-9bf3-c4ea24086974.bat
nul

Удаляет файлы, которые сам же создал

%LOCALAPPDATA%\microsoft\windows\update\output\.tmpw3q5pv
%TEMP%\elv_df8a4fe0-70ba-4bbb-bfdf-cd355ce91ee1.exe
%TEMP%\cookies_d1ee2ff0-47b0-4ba1-9ed2-53474522b8bc.db-shm
%TEMP%\hist_312e8fa8-3789-46f8-8972-f6812514f177.db-shm
%TEMP%\dl_0828f402-7b8c-4c72-ae64-cfc6259e25d0.db-shm
%TEMP%\bm_5f62eef3-239a-487c-a9a4-921eef74d29c.db-shm
%TEMP%\cookies_3290bb84-6971-402c-835c-3bdac16ce1fd.db-shm
%TEMP%\hist_8273c628-a082-4b2a-a421-c77643ba50ff.db-shm
%TEMP%\dl_1f06c510-f120-49ee-adf8-bb4d7475409a.db-shm
%TEMP%\bm_be73b793-8d72-49fa-a05e-5e42e0e92dfe.db-shm
%LOCALAPPDATA%\microsoft\windows\update\output\185_93_40_66_8cf7b530613e439ba8c5ccfc0e745400_20260301_065314.zip
%LOCALAPPDATA%\microsoft\windows\update\logs\backup_log.txt
%TEMP%\cookies_3290bb84-6971-402c-835c-3bdac16ce1fd.db
%TEMP%\cookies_d1ee2ff0-47b0-4ba1-9ed2-53474522b8bc.db
%TEMP%\dl_0828f402-7b8c-4c72-ae64-cfc6259e25d0.db
%TEMP%\dl_1f06c510-f120-49ee-adf8-bb4d7475409a.db
%TEMP%\dl_58bac365-7799-42ad-a005-af8d86104fd2.db
%TEMP%\dl_f84c8218-26ea-47b2-b8a9-14b2a5768964.db
%TEMP%\hist_312e8fa8-3789-46f8-8972-f6812514f177.db
%TEMP%\hist_586e7be5-162b-4f12-b876-4ae68c8a1345.db
%TEMP%\hist_8273c628-a082-4b2a-a421-c77643ba50ff.db
%TEMP%\hist_91f5ad77-c028-421d-adc2-aa5a6d7d820b.db

Подменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\update\logs\backup_log.txt

Самоудаляется.

Сетевая активность

Подключается к

'1.#.1.1':443

TCP

Другие

'1.#.1.1':443

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\microsoft\windows\update\sender.exe'
'%TEMP%\elv_df8a4fe0-70ba-4bbb-bfdf-cd355ce91ee1.exe' chrome -o temp_abe_output\chrome -v -f
'%TEMP%\elv_df8a4fe0-70ba-4bbb-bfdf-cd355ce91ee1.exe' edge -o temp_abe_output\edge -v -f
'%TEMP%\elv_df8a4fe0-70ba-4bbb-bfdf-cd355ce91ee1.exe' brave -o temp_abe_output\brave -v -f

Запускает на исполнение

'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
'<SYSTEM32>\systeminfo.exe'
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\cmd.exe' /C %TEMP%\sd_ff050fdc-a894-41db-9bf3-c4ea24086974.bat
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\timeout.exe' /t 1 /nobreak
'<SYSTEM32>\cmd.exe' /c tasklist /fi "IMAGENAME eq sender*" /fo csv | findstr /i "sender"
'<SYSTEM32>\tasklist.exe' /fi "IMAGENAME eq sender*" /fo csv
'<SYSTEM32>\findstr.exe' /i "sender"
'<SYSTEM32>\timeout.exe' /t 2 /nobreak
'%LOCALAPPDATA%\microsoft\windows\update\sender.exe' (со скрытым окном)