Trojan.PWS.Siggen5.34069

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies

Изменения в файловой системе

Создает следующие файлы

%TEMP%\login data_chrome_default_1.temp
%TEMP%\secure preferences_microsoft_edge_default_10.temp
%TEMP%\web data_chrome_default_7.temp
%TEMP%\web data_microsoft_edge_default_7.temp
%TEMP%\places.sqlite_firefox-dnyauhh1.default-release_20.temp
%TEMP%\web data_microsoft_edge_default_11.temp
%TEMP%\web data_chrome_default_12.temp
%TEMP%\web data_microsoft_edge_default_12.temp
%TEMP%\places.sqlite_firefox-dnyauhh1.default-release_21.temp
%TEMP%\secure preferences_chrome_default_10.temp
%TEMP%\webappsstore.sqlite_firefox-dnyauhh1.default-release_24.temp
%TEMP%\cookies.sqlite_firefox-dnyauhh1.default-release_18.temp
%TEMP%\extensions.json_firefox-dnyauhh1.default-release_26.temp
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current
%TEMP%\session storage_chrome_default_9.temp\current
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\log
%TEMP%\key4.db_firefox-dnyauhh1.default-release_16.temp
%TEMP%\session storage_chrome_default_9.temp\log
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\manifest-000001
%TEMP%\session storage_chrome_default_9.temp\manifest-000001
%TEMP%\history_microsoft_edge_default_4.temp
%TEMP%\places.sqlite_firefox-dnyauhh1.default-release_19.temp
%TEMP%\web data_chrome_default_6.temp
%TEMP%\history_microsoft_edge_default_5.temp
%TEMP%\web data_microsoft_edge_default_6.temp
%TEMP%\web data_chrome_default_11.temp
%TEMP%\local state_microsoft_edge_default_0.temp
%TEMP%\local state_chrome_default_0.temp
%TEMP%\login data_microsoft_edge_default_1.temp
%TEMP%\cookies_chrome_default_2.temp
%TEMP%\history_chrome_default_4.temp
%TEMP%\history_chrome_default_5.temp
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\manifest-000005
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current.bak
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current.5
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\000004.log
%TEMP%\session storage_chrome_default_9.temp\manifest-000005
%TEMP%\session storage_chrome_default_9.temp\current.bak
%TEMP%\session storage_chrome_default_9.temp\current.5
%TEMP%\session storage_chrome_default_9.temp\000004.log

Удаляет файлы, которые сам же создал

%TEMP%\key4.db_firefox-dnyauhh1.default-release_16.temp
%TEMP%\local state_microsoft_edge_default_0.temp
%TEMP%\web data_microsoft_edge_default_7.temp
%TEMP%\local state_chrome_default_0.temp
%TEMP%\web data_chrome_default_7.temp
%TEMP%\cookies_chrome_default_2.temp
%TEMP%\history_chrome_default_4.temp
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\manifest-000001
%TEMP%\login data_chrome_default_1.temp
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\000004.log
%TEMP%\web data_chrome_default_12.temp
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current.bak
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\log
%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\manifest-000005
%TEMP%\history_microsoft_edge_default_5.temp
%TEMP%\web data_microsoft_edge_default_6.temp
%TEMP%\login data_microsoft_edge_default_1.temp
%TEMP%\web data_microsoft_edge_default_11.temp
%TEMP%\history_microsoft_edge_default_4.temp
%TEMP%\secure preferences_microsoft_edge_default_10.temp
%TEMP%\session storage_chrome_default_9.temp\manifest-000001
%TEMP%\web data_microsoft_edge_default_12.temp
%TEMP%\session storage_chrome_default_9.temp\000004.log
%TEMP%\session storage_chrome_default_9.temp\current
%TEMP%\session storage_chrome_default_9.temp\current.bak
%TEMP%\session storage_chrome_default_9.temp\log
%TEMP%\session storage_chrome_default_9.temp\manifest-000005
%TEMP%\web data_chrome_default_11.temp
%TEMP%\history_chrome_default_5.temp
%TEMP%\secure preferences_chrome_default_10.temp
%TEMP%\web data_chrome_default_6.temp

Перемещает следующие файлы

%TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current.5 в %TEMP%\local storage\leveldb_microsoft_edge_default_8.temp\current
%TEMP%\session storage_chrome_default_9.temp\current.5 в %TEMP%\session storage_chrome_default_9.temp\current

Сетевая активность

Подключается к

'ap#.#pify.org':443
'ip##pi.com':80
'51.##.99.224':443

TCP

Запросы HTTP GET

http://ip##pi.com/json/185.93.40.66

Другие

'ap#.#pify.org':443

UDP

DNS ASK ap#.#pify.org
DNS ASK ip##pi.com

Другое

Запускает на исполнение

'<SYSTEM32>\systeminfo.exe' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{Volume=\"C:\\\"; Context=\"ClientAccessible\"}" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_Processor | Select-Object -ExpandProperty Name" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_Processor | Select-Object -ExpandProperty NumberOfCores" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_VideoController | Select-Object -ExpandProperty Name" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_OperatingSystem | Select-Object -ExpandProperty TotalVisibleMemorySize" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-CimInstance Win32_VideoController | Where-Object { $_.CurrentHorizontalResolution -gt 0 -and $_.CurrentVerticalResolution -gt 0 } | Select-Object Name, CurrentHorizontalResolution... (со скрытым окном)
'<SYSTEM32>\curl.exe' -s http://ip-api.com/json/18#.#3.40.66 (со скрытым окном)