Trojan.Siggen32.49665

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%WINDIR%\tasks\com_nt_core_v10_x86.job
<SYSTEM32>\tasks\com_nt_core_v10_x86

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

quantumtracke.exe
coreemulato32.exe
crisp.exe

Патчит код

в динамической библиотеке

Процесс aurmodule.exe, модуль tapisrv.dll
Процесс aurmodule.exe, модуль Input.dll
Процесс aurmodule.exe, модуль XmlLite.dll
Процесс aurmodule.exe, модуль RPCRT4.dll
Процесс coreemulato32.exe, модуль KERNEL32.dll
Процесс crisp.exe, модуль XmlLite.dll

в динамической библиотеке AMSI

Процесс coreemulato32.exe, модуль Amsi.dll

в динамической библиотеке NTDLL

Процесс coreemulato32.exe, модуль ntdll.dll

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\141.0.3537.57.manifest
%TEMP%\fiber_alloc.idx
%TEMP%\identity_helper.exe.manifest
%TEMP%\notification_helper.exe.manifest
%TEMP%\storage-relay.tmp
%TEMP%\aurmodule.exe
%TEMP%\msedge_elf.dll
%TEMP%\msvcp_win.dll
%TEMP%\ucrtbase.dll
%ALLUSERSPROFILE%\msvsobserver\141.0.3537.57.manifest
%ALLUSERSPROFILE%\msvsobserver\aurmodule.exe
%ALLUSERSPROFILE%\msvsobserver\fiber_alloc.idx
%ALLUSERSPROFILE%\msvsobserver\identity_helper.exe.manifest
%ALLUSERSPROFILE%\msvsobserver\msedge_elf.dll
%ALLUSERSPROFILE%\msvsobserver\msvcp_win.dll
%ALLUSERSPROFILE%\msvsobserver\notification_helper.exe.manifest
%ALLUSERSPROFILE%\msvsobserver\ucrtbase.dll
%ALLUSERSPROFILE%\msvsobserver\storage-relay.tmp
%APPDATA%\msvsobserver\crisp.exe
%APPDATA%\msvsobserver\amtygcqzs\141.0.3537.57.manifest
%APPDATA%\msvsobserver\amtygcqzs\aurmodule.exe
%APPDATA%\msvsobserver\amtygcqzs\fiber_alloc.idx
%APPDATA%\msvsobserver\amtygcqzs\identity_helper.exe.manifest
%APPDATA%\msvsobserver\amtygcqzs\msedge_elf.dll
%APPDATA%\msvsobserver\amtygcqzs\msvcp_win.dll
%APPDATA%\msvsobserver\amtygcqzs\notification_helper.exe.manifest
%APPDATA%\msvsobserver\amtygcqzs\storage-relay.tmp
%APPDATA%\msvsobserver\amtygcqzs\ucrtbase.dll
%TEMP%\5afe6.tmp
%APPDATA%\syswatcher_ent\crisp.exe
%TEMP%\82a2a86.tmp
%TEMP%\8803034.tmp
%TEMP%\9163a08.tmp
%LOCALAPPDATA%\quantumtracke.exe
%HOMEPATH%\coreemulato32.exe
%TEMP%\a484e0e.tmp
%TEMP%\b005a14.tmp
%ALLUSERSPROFILE%\mayanex\kapuq
%TEMP%\5e3b717.tmp
%ALLUSERSPROFILE%\mayanex\nata\93efdb4bf7ccb545eb145b2756f773c50ed8514e
%ALLUSERSPROFILE%\mayanex\nata\b2ca59dde8aff8b7812129dfb9f1b09ca7ef0040
%TEMP%\0a19-f1fa-b0d5-6418\login data
%TEMP%\77d2-9763-0110-cb32\web data
%TEMP%\kpzz\qaibmjets0\default\x0jnrjisi
%TEMP%\kpzz\qaibmjets0\default\1gii9w\login data
%TEMP%\kpzz\qaibmjets0\default\1gii9w\web data
%TEMP%\56dd-a15e-6d77-40c1\cookies
%TEMP%\kpzz\qaibmjets0\default\vinhvlnes\cookies
%TEMP%\82ac-091b-2d8d-5d34\login data
%TEMP%\5524-4002-33f6-86a7\web data
%TEMP%\kpzz\u9psjs0\default\x0jnrjisi
%TEMP%\kpzz\u9psjs0\default\1gii9w\login data
%TEMP%\kpzz\u9psjs0\default\1gii9w\web data
%TEMP%\3cb9-c9ff-a8c1-4e7b.tmp
%TEMP%\44ee-94b0-2ec1-815c.tmp
%TEMP%\4e57-35de-7d27-dc76.tmp
%TEMP%\kpzz\tknnh1\dnyauhh1.default-release\1gii9w
%TEMP%\kpzz\tknnh1\dnyauhh1.default-release\vinhvlnes
%TEMP%\kpzz\nkr8g7.json
%TEMP%\tbfqf.7z
%TEMP%\7068-527a-72b8-c32c.tmp
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400