Trojan.Siggen33.38438

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%WINDIR%\tasks\clipool.job
<SYSTEM32>\tasks\clipool

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

fusionint.exe
quantummonito.exe
libhost.exe

Патчит код

в динамической библиотеке

Процесс exchanger-d.exe, модуль tapisrv.dll
Процесс exchanger-d.exe, модуль Input.dll
Процесс exchanger-d.exe, модуль XmlLite.dll
Процесс exchanger-d.exe, модуль RPCRT4.dll
Процесс libhost.exe, модуль XmlLite.dll

в динамической библиотеке NTDLL

Процесс exchanger-d.exe, модуль ntdll.dll
Процесс quantummonito.exe, модуль ntdll.dll
Процесс libhost.exe, модуль ntdll.dll

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\registry_helper.map
%TEMP%\texture-gen.lib
%TEMP%\awl.dll
%TEMP%\exchanger-d.exe
%TEMP%\fineobj.dll
%TEMP%\msvcp_win.dll
%TEMP%\msvcr90.dll
%TEMP%\ucrtbase.dll
%ALLUSERSPROFILE%\ntstack\awl.dll
%ALLUSERSPROFILE%\ntstack\exchanger-d.exe
%ALLUSERSPROFILE%\ntstack\fineobj.dll
%ALLUSERSPROFILE%\ntstack\msvcp_win.dll
%ALLUSERSPROFILE%\ntstack\msvcr90.dll
%ALLUSERSPROFILE%\ntstack\texture-gen.lib
%ALLUSERSPROFILE%\ntstack\ucrtbase.dll
%ALLUSERSPROFILE%\ntstack\registry_helper.map
%APPDATA%\ntstack\libhost.exe
%APPDATA%\ntstack\sclurdfqwffgronoz\awl.dll
%APPDATA%\ntstack\sclurdfqwffgronoz\exchanger-d.exe
%APPDATA%\ntstack\sclurdfqwffgronoz\fineobj.dll
%APPDATA%\ntstack\sclurdfqwffgronoz\msvcp_win.dll
%APPDATA%\ntstack\sclurdfqwffgronoz\msvcr90.dll
%APPDATA%\ntstack\sclurdfqwffgronoz\registry_helper.map
%APPDATA%\ntstack\sclurdfqwffgronoz\texture-gen.lib
%APPDATA%\ntstack\sclurdfqwffgronoz\ucrtbase.dll
%TEMP%\9443d05.tmp
%TEMP%\b726195.tmp
%APPDATA%\ntc\libhost.exe
%TEMP%\be168d7.tmp
%TEMP%\cc377ad.tmp
%LOCALAPPDATA%\fusionint.exe
%TEMP%\d4d80a7.tmp
%TEMP%\quantummonito.exe
%TEMP%\f1e9f2c.tmp
%TEMP%\445f597.tmp
%ALLUSERSPROFILE%\jovise\lonupuvi
%ALLUSERSPROFILE%\jovise\cusak\9ec3fbe65d78de8407b0d7d57b1b6b4df186050e
%ALLUSERSPROFILE%\jovise\cusak\9c40f470174b05f75424e0f38e958a62b6e1a8f5
%TEMP%\0fbe-4a7a-839b-491e\login data
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
%TEMP%\1a0d-9f4e-af1b-16f9\web data
%TEMP%\sdfor7h\ckqvlzw0\default\66dtuugy4cp
%TEMP%\sdfor7h\ckqvlzw0\default\t8gy2opaw\login data
%TEMP%\sdfor7h\ckqvlzw0\default\t8gy2opaw\web data
%TEMP%\3131-a988-fdb8-b2c7\cookies
%TEMP%\sdfor7h\ckqvlzw0\default\cd9olhi\cookies
%TEMP%\9f2a-2008-2dd4-6fb0\login data
%TEMP%\11e5-33af-980b-8039\web data
%TEMP%\sdfor7h\xzhpngt0\default\66dtuugy4cp
%TEMP%\sdfor7h\xzhpngt0\default\t8gy2opaw\login data
%TEMP%\sdfor7h\xzhpngt0\default\t8gy2opaw\web data
%TEMP%\c25c-6732-d7d4-7b1a.tmp
%TEMP%\c97f-ff0d-49bb-b105.tmp
%TEMP%\c796-40f0-faaa-48d6.tmp
%TEMP%\sdfor7h\3dvesw1\dnyauhh1.default-release\t8gy2opaw
%TEMP%\sdfor7h\3dvesw1\dnyauhh1.default-release\cd9olhi
%TEMP%\sdfor7h\oebd3b97x9.json
%TEMP%\aleof.7z
%TEMP%\a063-d2be-a723-c427.tmp