Trojan.PWS.Siggen5.34225

Техническая информация

Вредоносные функции

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\0974502
%LOCALAPPDATA%\88b6771
%LOCALAPPDATA%\8cb2586
%LOCALAPPDATA%\d12e759
%LOCALAPPDATA%\dd6c22f
%LOCALAPPDATA%\bced1a6
%LOCALAPPDATA%\b1c3638
%LOCALAPPDATA%\78a0507
%LOCALAPPDATA%\bdd68de
%LOCALAPPDATA%\addcfc9
%LOCALAPPDATA%\7b0c3f1
%LOCALAPPDATA%\4464772
%LOCALAPPDATA%\3442df3
%LOCALAPPDATA%\af50134
%LOCALAPPDATA%\7962fb4
%LOCALAPPDATA%\54d2e55
%LOCALAPPDATA%\3e750e5
%LOCALAPPDATA%\3137c63
%LOCALAPPDATA%\711ddca
%LOCALAPPDATA%\5ec189f
%LOCALAPPDATA%\df6255d
%LOCALAPPDATA%\d6bc196
%LOCALAPPDATA%\7769bde
%LOCALAPPDATA%\6a6116a
%LOCALAPPDATA%\5176b38
%LOCALAPPDATA%\0aa3c58
%LOCALAPPDATA%\9049d6b
%LOCALAPPDATA%\6d9ba59
%LOCALAPPDATA%\2df8347
%LOCALAPPDATA%\b8cb0fe
%LOCALAPPDATA%\8ab049d
%LOCALAPPDATA%\c46aa21
%LOCALAPPDATA%\3d1c5fc
%LOCALAPPDATA%\ea1f042
%LOCALAPPDATA%\55f9b50
%LOCALAPPDATA%\3b2cdb3
%LOCALAPPDATA%\5fdc2d0
%LOCALAPPDATA%\9ba13ec
%LOCALAPPDATA%\2ebca27
%LOCALAPPDATA%\1901124
%LOCALAPPDATA%\e590e26
%LOCALAPPDATA%\d26c603
%LOCALAPPDATA%\5478204
%LOCALAPPDATA%\2e566c2
%LOCALAPPDATA%\63da410
%LOCALAPPDATA%\0ac20ae
%LOCALAPPDATA%\5f0f65f
%LOCALAPPDATA%\4249231
%LOCALAPPDATA%\8c8c429
%LOCALAPPDATA%\ae4879c
%LOCALAPPDATA%\6ace08c
%LOCALAPPDATA%\03fad12
%LOCALAPPDATA%\6b7d49c
%LOCALAPPDATA%\f2d6b3c
%LOCALAPPDATA%\190684b
%LOCALAPPDATA%\b9b6d12
%LOCALAPPDATA%\0144bc1
%LOCALAPPDATA%\aa01508
%LOCALAPPDATA%\0d758c6
%LOCALAPPDATA%\61dfaa7
%LOCALAPPDATA%\607e821
%LOCALAPPDATA%\9f2b9aa
%LOCALAPPDATA%\bba811c
%LOCALAPPDATA%\a1e19ca
%LOCALAPPDATA%\a20e72a
%LOCALAPPDATA%\475d2e2
%LOCALAPPDATA%\0967aa1
%LOCALAPPDATA%\4478288
%LOCALAPPDATA%\8103fea
%LOCALAPPDATA%\345faec
%LOCALAPPDATA%\749ab29
%LOCALAPPDATA%\a18c3a1
%LOCALAPPDATA%\60d4d58
%LOCALAPPDATA%\3a7c259
%LOCALAPPDATA%\1e81ada

Удаляет файлы, которые сам же создал

%LOCALAPPDATA%\88b6771
%LOCALAPPDATA%\d12e759
%LOCALAPPDATA%\7b0c3f1
%LOCALAPPDATA%\4464772
%LOCALAPPDATA%\3442df3
%LOCALAPPDATA%\7962fb4
%LOCALAPPDATA%\3e750e5
%LOCALAPPDATA%\d6bc196
%LOCALAPPDATA%\6a6116a
%LOCALAPPDATA%\0aa3c58
%LOCALAPPDATA%\9049d6b
%LOCALAPPDATA%\6d9ba59
%LOCALAPPDATA%\8ab049d
%LOCALAPPDATA%\c46aa21
%LOCALAPPDATA%\ea1f042
%LOCALAPPDATA%\9ba13ec
%LOCALAPPDATA%\5478204
%LOCALAPPDATA%\63da410
%LOCALAPPDATA%\8c8c429
%LOCALAPPDATA%\ae4879c
%LOCALAPPDATA%\6ace08c
%LOCALAPPDATA%\03fad12
%LOCALAPPDATA%\6b7d49c
%LOCALAPPDATA%\f2d6b3c
%LOCALAPPDATA%\190684b
%LOCALAPPDATA%\b9b6d12
%LOCALAPPDATA%\0144bc1
%LOCALAPPDATA%\aa01508
%LOCALAPPDATA%\0d758c6
%LOCALAPPDATA%\61dfaa7
%LOCALAPPDATA%\607e821
%LOCALAPPDATA%\9f2b9aa
%LOCALAPPDATA%\bba811c
%LOCALAPPDATA%\a1e19ca
%LOCALAPPDATA%\a20e72a
%LOCALAPPDATA%\475d2e2
%LOCALAPPDATA%\0967aa1
%LOCALAPPDATA%\4478288
%LOCALAPPDATA%\8103fea
%LOCALAPPDATA%\345faec
%LOCALAPPDATA%\749ab29
%LOCALAPPDATA%\a18c3a1
%LOCALAPPDATA%\60d4d58
%LOCALAPPDATA%\3a7c259
%LOCALAPPDATA%\1e81ada

Подменяет следующие файлы

%LOCALAPPDATA%\d12e759
%LOCALAPPDATA%\7b0c3f1
%LOCALAPPDATA%\4464772
%LOCALAPPDATA%\3e750e5
%LOCALAPPDATA%\0aa3c58
%LOCALAPPDATA%\9049d6b
%LOCALAPPDATA%\8ab049d
%LOCALAPPDATA%\6ace08c
%LOCALAPPDATA%\03fad12
%LOCALAPPDATA%\b9b6d12
%LOCALAPPDATA%\0144bc1
%LOCALAPPDATA%\0d758c6
%LOCALAPPDATA%\607e821
%LOCALAPPDATA%\bba811c
%LOCALAPPDATA%\a1e19ca
%LOCALAPPDATA%\a20e72a
%LOCALAPPDATA%\0967aa1
%LOCALAPPDATA%\749ab29

Сетевая активность

Подключается к

'18#.#61.208.63':35253

UDP

DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK ip##fo.io

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''