Trojan.PWS.Siggen5.36082

Техническая информация

Вредоносные функции

Патчит код

в динамической библиотеке AMSI

Процесс octebw.exe, модуль Amsi.dll

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\prkkbczn_t\chrome\profile 1 (default)\login data
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\cookies
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\cookies.txt
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\cookies.json
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\history
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\history.txt
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\web data
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\secure preferences
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\extensions.txt
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\current
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\log
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\manifest-000001
%TEMP%\prkkbczn_t\edge\profile 1 (default)\login data
%TEMP%\nfavgurn_r\edge\profile 1 (default)\cookies.txt
%TEMP%\prkkbczn_t\edge\profile 1 (default)\history
%TEMP%\prkkbczn_t\edge\profile 1 (default)\web data
%TEMP%\prkkbczn_t\edge\profile 1 (default)\secure preferences
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\current
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\log
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\manifest-000001
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\login data
%TEMP%\nfavgurn_r\opera\profile 1 (opera stable)\cookies.txt
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\history
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\bookmarks
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\web data
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\secure preferences
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\key4.db
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\cookies.sqlite
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\cookies.sqlite-shm
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\cookies.txt
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\cookies.json
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\places.sqlite
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\places.sqlite-shm
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\history.txt
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\extensions.json
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\extensions.txt
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\webappsstore.sqlite
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\webappsstore.sqlite-shm
%TEMP%\nfavgurn_r\firefox\p 2 (mlxv8edx.default)\cookies.txt
%TEMP%\vztum3.dat

Удаляет файлы, которые сам же создал

%TEMP%\prkkbczn_t\chrome\profile 1 (default)\cookies
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\history
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\login data
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\secure preferences
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\current
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\log.old
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\manifest-000001
%TEMP%\prkkbczn_t\chrome\profile 1 (default)\web data
%TEMP%\prkkbczn_t\edge\profile 1 (default)\history
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\current
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\log.old
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\manifest-000001
%TEMP%\prkkbczn_t\edge\profile 1 (default)\login data
%TEMP%\prkkbczn_t\edge\profile 1 (default)\secure preferences
%TEMP%\prkkbczn_t\edge\profile 1 (default)\web data
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\cookies.sqlite
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\cookies.sqlite-shm
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\extensions.json
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\key4.db
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\places.sqlite
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\places.sqlite-shm
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\webappsstore.sqlite
%TEMP%\prkkbczn_t\firefox\p 1 (dnyauhh1.default-release)\webappsstore.sqlite-shm
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\bookmarks
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\history
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\login data
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\secure preferences
%TEMP%\prkkbczn_t\opera\profile 1 (opera stable)\web data
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\cookies.json
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\cookies.txt
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\extensions.txt
%TEMP%\nfavgurn_r\chrome\profile 1 (default)\history.txt
%TEMP%\nfavgurn_r\edge\profile 1 (default)\cookies.txt
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\cookies.json
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\cookies.txt
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\extensions.txt
%TEMP%\nfavgurn_r\firefox\p 1 (dnyauhh1.default-release)\history.txt
%TEMP%\nfavgurn_r\firefox\p 2 (mlxv8edx.default)\cookies.txt
%TEMP%\nfavgurn_r\opera\profile 1 (opera stable)\cookies.txt
%TEMP%\vztum3.dat

Перемещает следующие файлы

%TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\log в %TEMP%\prkkbczn_t\chrome\profile 1 (default)\sessionstorage\log.old
%TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\log в %TEMP%\prkkbczn_t\edge\profile 1 (default)\localstorage\log.old

Изменяет следующие файлы