Trojan.PWS.Siggen5.33704

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\user_2026-05-31_16-56-41\system_info.txt
%TEMP%\user_2026-05-31_16-56-41\screenshot_1.bmp
%TEMP%\user_2026-05-31_16-56-41\chrome_logindata_0.db
%TEMP%\user_2026-05-31_16-56-41\chrome_cookies_0.db
%TEMP%\user_2026-05-31_16-56-41\chrome_webdata_0.db
%TEMP%\user_2026-05-31_16-56-41\chrome_localstate
%TEMP%\tmp_000d0a22
%TEMP%\user_2026-05-31_16-56-41\history_chrome.txt
%TEMP%\tmp_000d0a32
%TEMP%\user_2026-05-31_16-56-41\autofill_chrome.txt
%TEMP%\user_2026-05-31_16-56-41\edge_logindata_0.db
%TEMP%\user_2026-05-31_16-56-41\edge_webdata_0.db
%TEMP%\user_2026-05-31_16-56-41\edge_localstate
%TEMP%\user_2026-05-31_16-56-41\edge_masterkey.txt
%TEMP%\xd_pw_000d0a41.db
%TEMP%\user_2026-05-31_16-56-41\passwords_edge.txt
%TEMP%\user_2026-05-31_16-56-41\cookies_edge.txt
%TEMP%\user_2026-05-31_16-56-41\cookies_edge.json
%TEMP%\tmp_000d0a41
%TEMP%\user_2026-05-31_16-56-41\history_edge.txt
%TEMP%\tmp_000d0a51
%TEMP%\user_2026-05-31_16-56-41\autofill_edge.txt
%TEMP%\xd_cc_000d0a51.db
%TEMP%\user_2026-05-31_16-56-41\creditcards_edge.txt
%TEMP%\user_2026-05-31_16-56-41\opera_localstate
%TEMP%\user_2026-05-31_16-56-41\discord_tokens.txt
%TEMP%\user_2026-05-31_16-56-41\cookies_firefox.txt
%TEMP%\user_2026-05-31_16-56-41\history_firefox.txt
%TEMP%\user_2026-05-31_16-56-41\autofill_firefox.txt
%TEMP%\xd_ff_000d0afd000016fc.db
%TEMP%\xd_ff_000d0b1c000016fc.db
%TEMP%\user_2026-05-31_16-56-41\cookies_firefox.json
%TEMP%\user_2026-05-31_16-56-41\passwords_firefox.txt
%TEMP%\user_2026-05-31_16-56-41\installedapps.txt
%TEMP%\user_2026-05-31_16-56-41\browserextensions.txt
%TEMP%\user_2026-05-31_16-56-41\screenshot_2.bmp
%TEMP%\user_2026-05-31_16-56-41.zip

Удаляет файлы, которые сам же создал

%TEMP%\tmp_000d0a22
%TEMP%\tmp_000d0a32
%TEMP%\xd_pw_000d0a41.db
%TEMP%\tmp_000d0a41
%TEMP%\tmp_000d0a51
%TEMP%\xd_cc_000d0a51.db
%TEMP%\xd_ff_000d0afd000016fc.db
%TEMP%\xd_ff_000d0b1c000016fc.db
%TEMP%\user_2026-05-31_16-56-41\cookies_firefox.json
%TEMP%\user_2026-05-31_16-56-41\cookies_firefox.txt
%TEMP%\user_2026-05-31_16-56-41\autofill_firefox.txt
%TEMP%\user_2026-05-31_16-56-41\passwords_firefox.txt
%TEMP%\user_2026-05-31_16-56-41\chrome_cookies_0.db
%TEMP%\user_2026-05-31_16-56-41\chrome_logindata_0.db
%TEMP%\user_2026-05-31_16-56-41\chrome_webdata_0.db
%TEMP%\user_2026-05-31_16-56-41\edge_logindata_0.db
%TEMP%\user_2026-05-31_16-56-41\edge_webdata_0.db

Подменяет следующие файлы

%TEMP%\xd_ff_000d0afd000016fc.db

Сетевая активность

Подключается к

'ip##pi.com':80
'ap#.##legram.org':443

TCP

Запросы HTTP GET

http://ip##pi.com/json

UDP

DNS ASK ip##pi.com
DNS ASK ap#.##legram.org

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c powershell -NoLogo -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Compress-Archive -Path '%TEMP%\\user_2026-05-31_16-56-41' -DestinationPath '%TEMP%\\user_2026-05-31_16-56-41.z... (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Compress-Archive -Path '%TEMP%\\user_2026-05-31_16-56-41' -DestinationPath '%TEMP%\\user_2026-05-31_16-56-41.zip' -Compressi...