Trojan.Siggen34.18805

Техническая информация

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Патчит код

в динамической библиотеке NTDLL

Процесс xpfbqb.exe, модуль ntdll.dll
Процесс msedge.exe, модуль ntdll.dll

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\lagofast.log
%TEMP%\f41a6031.dll
%TEMP%\etilqs_xngytjpq0ycy5in
%TEMP%\etilqs_bhhwjem5fe5mgus
%TEMP%\etilqs_hi5yfhprbzwpmf1
%TEMP%\623567b9.dll
%TEMP%\payload_624.log
%TEMP%\elevator_624.log
%TEMP%\screenshot.bmp
C:\users\public\payload_fallback.log
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\ld_default.db
%TEMP%\pw_624.log
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\wd_default.db
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\hi_default.db
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\screenshot.bmp
%TEMP%\steam_debug.txt
%TEMP%\steam_localvdf_debug.txt
%TEMP%\discord_debug.txt
%TEMP%\epic_config_debug.txt
%TEMP%\google_token_dbg.txt
%TEMP%\gt_wd_2105306325376.db
%TEMP%\gt_wd_2105306325728.db
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\edge\gmailtokens.txt
%TEMP%\microsoft_token_dbg.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\0_kontakty.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\1_containers.json
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\2_sitesecurityservicestate.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\3_default_partner_content.json
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\4_mailviews.dat
%TEMP%\battlenet_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\device_info.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\battlenet_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\discord_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\google_token_dbg.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\steam_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\steam_localvdf_debug.txt

Удаляет файлы, которые сам же создал

%TEMP%\623567b9.dll
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\ld_default.db
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\wd_default.db
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\hi_default.db
%TEMP%\screenshot.bmp
%TEMP%\gt_wd_2105306325376.db
%TEMP%\gt_wd_2105306325728.db
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\battlenet_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\discord_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\google_token_dbg.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\steam_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\debug_logs\steam_localvdf_debug.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\device_info.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\edge\gmailtokens.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\0_kontakty.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\1_containers.json
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\2_sitesecurityservicestate.txt
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\3_default_partner_content.json
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\passwordfiles\4_mailviews.dat
%TEMP%\ax_aaab949c-c8a8-471e-8bd0-d1f34f730d24\screenshot.bmp

Изменяет следующие файлы

%LOCALAPPDATA%\google\chrome\application\debug.log

Сетевая активность

Подключается к

'google.com':443
'tr######e.googleapis.com':443
'ss#.#static.com':443
'yw##.#uckdns.org':5000

TCP

Другие

'google.com':443
'tr######e.googleapis.com':443
'clients3.google.com':443
'ss#.#static.com':443

UDP

DNS ASK google.com
DNS ASK clients4.google.com
DNS ASK tr######e.googleapis.com
DNS ASK clients3.google.com
DNS ASK ss#.#static.com
DNS ASK yw##.#uckdns.org

Другое

Ищет следующие окна

ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'

Запускает на исполнение

'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --no-first-run --disable-extensions --window-position=-32000,-32000 --disable-features=RendererCodeIntegrity,DynamicCodeSettings --no-sandbox (со скрытым окном)
'%LOCALAPPDATA%\google\chrome\application\chrome.exe' --no-first-run --disable-extensions --window-position=-32000,-32000 --disable-features=RendererCodeIntegrity,DynamicCodeSettings --no-sandbox (со скрытым окном)