Trojan.Siggen32.45837

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%WINDIR%\tasks\ukv.job
<SYSTEM32>\tasks\ukv

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

ztracker32.exe
aloptimizer.exe
crisp.exe

Патчит код

в динамической библиотеке

Процесс vect_p16.exe, модуль tapisrv.dll
Процесс vect_p16.exe, модуль Input.dll
Процесс vect_p16.exe, модуль XmlLite.dll
Процесс vect_p16.exe, модуль RPCRT4.dll
Процесс ztracker32.exe, модуль KERNEL32.dll
Процесс crisp.exe, модуль XmlLite.dll

в динамической библиотеке AMSI

Процесс ztracker32.exe, модуль Amsi.dll

в динамической библиотеке NTDLL

Процесс ztracker32.exe, модуль ntdll.dll

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\network-mon.map
%TEMP%\process.xml
%TEMP%\msvcp_win.dll
%TEMP%\tier0_s64.dll
%TEMP%\ucrtbase.dll
%TEMP%\vect_p16.exe
%TEMP%\vstdlib_s64.dll
%ALLUSERSPROFILE%\wslutil_net6\msvcp_win.dll
%ALLUSERSPROFILE%\wslutil_net6\process.xml
%ALLUSERSPROFILE%\wslutil_net6\tier0_s64.dll
%ALLUSERSPROFILE%\wslutil_net6\ucrtbase.dll
%ALLUSERSPROFILE%\wslutil_net6\vect_p16.exe
%ALLUSERSPROFILE%\wslutil_net6\vstdlib_s64.dll
%ALLUSERSPROFILE%\wslutil_net6\network-mon.map
%APPDATA%\wslutil_net6\crisp.exe
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\msvcp_win.dll
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\network-mon.map
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\process.xml
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\tier0_s64.dll
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\ucrtbase.dll
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\vect_p16.exe
%APPDATA%\wslutil_net6\hyjsbwoaayfvufyyzycy\vstdlib_s64.dll
%APPDATA%\srv_router_starter\crisp.exe
%TEMP%\dc77c45.tmp
%TEMP%\eb28ba7.tmp
%TEMP%\d8c786c.tmp
%TEMP%\fb39c80.tmp
%ALLUSERSPROFILE%\ztracker32.exe
%TEMP%\23fa3e3.tmp
%TEMP%\aloptimizer.exe
%TEMP%\137b5e5.tmp
%ALLUSERSPROFILE%\mayanex\kapuq
%TEMP%\4ccf211.tmp
%ALLUSERSPROFILE%\mayanex\nata\abbed4db7c69527e1825e7a75f0800d55e863328
%ALLUSERSPROFILE%\mayanex\nata\4131d56674ae8631df1bf663039207f6f9545833
%TEMP%\9131-2194-41ff-1e07\login data
%TEMP%\7cb3-72a9-5071-fe46\web data
%TEMP%\18jkpc\wqso4z3pxkg0\default\isa4aeo9if
%TEMP%\18jkpc\wqso4z3pxkg0\default\kmuvta0mlk\login data
%TEMP%\18jkpc\wqso4z3pxkg0\default\kmuvta0mlk\web data
%TEMP%\9c41-9a4f-945e-dade\cookies
%TEMP%\18jkpc\wqso4z3pxkg0\default\0b6azh\cookies
%TEMP%\97fe-f08f-2071-7017\login data
%TEMP%\5270-f755-404b-ee4d\web data
%TEMP%\18jkpc\phdut6t0\default\isa4aeo9if
%TEMP%\18jkpc\phdut6t0\default\kmuvta0mlk\login data
%TEMP%\18jkpc\phdut6t0\default\kmuvta0mlk\web data
%TEMP%\1548-22a0-78f7-98a2.tmp
%TEMP%\4276-4c21-0b54-d447.tmp
%TEMP%\060f-e6ca-5e6c-4957.tmp
%TEMP%\18jkpc\vazowxn9xsc1\dnyauhh1.default-release\kmuvta0mlk
%TEMP%\18jkpc\vazowxn9xsc1\dnyauhh1.default-release\0b6azh
%TEMP%\18jkpc\thfzgvfe.json
%TEMP%\r3eyr3x.7z
%TEMP%\7adf-cabc-36aa-8db9.tmp
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
%ALLUSERSPROFILE%\mayanex\mitonico
%ALLUSERSPROFILE%\mayanex\jifexabo