Trojan.Siggen10.40520

Technical Information

Malicious functions

Reads files which store third party applications passwords

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\sdszfo.docx

Modifies file system

Creates the following files

%APPDATA%\thebestof\bestof.exe
%TEMP%\tmp5750.tmp
%TEMP%\tmp5760.tmp
%TEMP%\tmp5761.tmp
%TEMP%\tmp5762.tmp
%TEMP%\tmp5773.tmp
%TEMP%\tmp5774.tmp
%TEMP%\tmp5784.tmp
%TEMP%\tmp5785.tmp
%TEMP%\tmp5693.tmp
%TEMP%\tmp5786.tmp
%TEMP%\tmp5798.tmp
%TEMP%\tmp57a9.tmp
%TEMP%\tmp57aa.tmp
%TEMP%\tmp57ab.tmp
%TEMP%\tmp57bb.tmp
%TEMP%\tmp57cc.tmp
%TEMP%\tmp57cd.tmp
%TEMP%\tmp57ce.tmp
%TEMP%\tmp57de.tmp
%TEMP%\tmp573d.tmp
%TEMP%\tmp5797.tmp
%TEMP%\tmp574f.tmp
%TEMP%\tmp574e.tmp
%TEMP%\tmp572c.tmp
%TEMP%\tmp572b.tmp
%TEMP%\tmp565b.tmp
%TEMP%\tmp565c.tmp
%TEMP%\tmp565d.tmp
%TEMP%\tmp566e.tmp
%TEMP%\tmp566f.tmp
%TEMP%\tmp5670.tmp
%TEMP%\tmp5680.tmp
%TEMP%\tmp5691.tmp
%TEMP%\tmp57df.tmp
%TEMP%\tmp5692.tmp
nul
%TEMP%\tmp56a4.tmp
%TEMP%\tmp56c5.tmp
%TEMP%\tmp56d5.tmp
%TEMP%\tmp56d6.tmp
%TEMP%\tmp56d7.tmp
%TEMP%\tmp56e8.tmp
%TEMP%\tmp56f9.tmp
%TEMP%\tmp5709.tmp
%TEMP%\tmp570a.tmp
%TEMP%\tmp561b.tmp
%TEMP%\tmp571b.tmp
%TEMP%\tmp56b4.tmp
%TEMP%\tmp561c.tmp
%TEMP%\tmp57f0.tmp
%TEMP%\tmp5804.tmp
%TEMP%\tmp58aa.tmp
%TEMP%\tmp58bb.tmp
%TEMP%\tmp58bc.tmp
%TEMP%\tmp58bd.tmp
%TEMP%\tmp58cd.tmp
%TEMP%\tmp58ce.tmp
%TEMP%\tmp58df.tmp
%TEMP%\tmp58e0.tmp
%TEMP%\tmp58e1.tmp
%TEMP%\tmp5896.tmp
%TEMP%\tmp58e2.tmp
%TEMP%\tmp5922.tmp
%TEMP%\tmp5923.tmp
%TEMP%\tmp5924.tmp
%TEMP%\tmp5935.tmp
%TEMP%\tmp5936.tmp
%TEMP%\tmp5966.tmp
%TEMP%\tmp5967.tmp
%TEMP%\tmp5977.tmp
%TEMP%\tmp5997.tmp
%TEMP%\tmp58a8.tmp
%TEMP%\tmp58a9.tmp
%TEMP%\tmp5897.tmp
%TEMP%\tmp5886.tmp
%TEMP%\tmp4b30.tmp
%TEMP%\tmp5805.tmp
%TEMP%\tmp5806.tmp
%TEMP%\tmp5816.tmp
%TEMP%\tmp5817.tmp
%TEMP%\tmp5828.tmp
%TEMP%\tmp5829.tmp
%TEMP%\tmp582a.tmp
%TEMP%\tmp583a.tmp
%TEMP%\tmp57f1.tmp
%TEMP%\tmp5803.tmp
%TEMP%\tmp57f2.tmp
%TEMP%\tmp583b.tmp
%TEMP%\tmp584f.tmp
%TEMP%\tmp5860.tmp
%TEMP%\tmp5861.tmp
%TEMP%\tmp5862.tmp
%TEMP%\tmp5863.tmp
%TEMP%\tmp5873.tmp
%TEMP%\tmp5874.tmp
%TEMP%\tmp5885.tmp
%TEMP%\tmp584c.tmp
%TEMP%\tmp584d.tmp
%TEMP%\tmp584e.tmp
%TEMP%\tmp4cae.tmp
%TEMP%\tmp4c9e.tmp
%TEMP%\tmp4c7d.tmp
%TEMP%\tmp49d6.tmp
%TEMP%\tmp49d7.tmp
%TEMP%\tmp49f7.tmp
%TEMP%\tmp4a08.tmp
%TEMP%\tmp4a09.tmp
%TEMP%\tmp4a29.tmp
%TEMP%\tmp4a2a.tmp
%TEMP%\tmp4a3b.tmp
%TEMP%\tmp4a3c.tmp
%TEMP%\tmp4aa5.tmp
%TEMP%\tmp4a4c.tmp
%TEMP%\tmp4a5e.tmp
%TEMP%\tmp4a5f.tmp
%TEMP%\tmp4a6f.tmp
%TEMP%\tmp4a70.tmp
%TEMP%\tmp4a81.tmp
%TEMP%\tmp4a82.tmp
%TEMP%\tmp4a93.tmp
%TEMP%\tmp4a94.tmp
%TEMP%\tmp49b4.tmp
%TEMP%\tmp49b3.tmp
%TEMP%\tmp49c5.tmp
%TEMP%\tmp49b2.tmp
%TEMP%\tmp49a1.tmp
%APPDATA%\thebestof\bestofd.exe
%TEMP%\tmp4817.tmp
%TEMP%\tmp4837.tmp
%TEMP%\tmp48e4.tmp
%TEMP%\tmp48f4.tmp
%TEMP%\tmp48f5.tmp
%TEMP%\tmp4906.tmp
%TEMP%\tmp4916.tmp
%TEMP%\tmp4917.tmp
%TEMP%\tmp4a95.tmp
%TEMP%\tmp4928.tmp
%TEMP%\tmp4a4d.tmp
%TEMP%\tmp493a.tmp
%TEMP%\tmp494b.tmp
%TEMP%\tmp496b.tmp
%TEMP%\tmp496c.tmp
%TEMP%\tmp497d.tmp
%TEMP%\tmp497e.tmp
%TEMP%\tmp498f.tmp
%TEMP%\tmp4990.tmp
%TEMP%\tmp49a0.tmp
%TEMP%\tmp4929.tmp
%APPDATA%\thebestof\geo.txt
%TEMP%\tmp493b.tmp
%TEMP%\tmp49c4.tmp
%TEMP%\tmp4aa6.tmp
%TEMP%\tmp4bac.tmp
%TEMP%\tmp4bae.tmp
%TEMP%\tmp4bbf.tmp
%TEMP%\tmp4bc0.tmp
%TEMP%\tmp4bd0.tmp
%TEMP%\tmp4bd1.tmp
%TEMP%\tmp4bd2.tmp
%TEMP%\tmp4be3.tmp
%TEMP%\tmp4c03.tmp
%TEMP%\tmp4bab.tmp
%TEMP%\tmp4ac6.tmp
%TEMP%\tmp4bad.tmp
%TEMP%\tmp4c04.tmp
%TEMP%\tmp4c27.tmp
%TEMP%\tmp4c28.tmp
%TEMP%\tmp4c39.tmp
%TEMP%\tmp4c3a.tmp
%TEMP%\tmp4c3b.tmp
%TEMP%\tmp4c4c.tmp
%TEMP%\tmp4c4d.tmp
%TEMP%\tmp4c5d.tmp
%TEMP%\tmp4c15.tmp
%TEMP%\tmp4c16.tmp
%TEMP%\tmp4c26.tmp
%TEMP%\tmp5921.tmp
%TEMP%\tmp59b8.tmp
%TEMP%\tmp4b89.tmp
%TEMP%\tmp4ae8.tmp
%TEMP%\tmp4ae9.tmp
%TEMP%\tmp4aea.tmp
%TEMP%\tmp4aeb.tmp
%TEMP%\tmp4afb.tmp
%TEMP%\tmp4afc.tmp
%TEMP%\tmp4b0d.tmp
%TEMP%\tmp4b1d.tmp
%TEMP%\tmp4b1e.tmp
%TEMP%\tmp4b9a.tmp
%TEMP%\tmp4b9b.tmp
%TEMP%\tmp4b2f.tmp
%TEMP%\tmp4b42.tmp
%TEMP%\tmp4b52.tmp
%TEMP%\tmp4b53.tmp
%TEMP%\tmp4b54.tmp
%TEMP%\tmp4b55.tmp
%TEMP%\tmp4b75.tmp
%TEMP%\tmp4b76.tmp
%TEMP%\tmp4b77.tmp
%TEMP%\tmp4b88.tmp
%TEMP%\tmp4ad7.tmp
%TEMP%\tmp4b41.tmp
%TEMP%\tmp59b9.tmp

Deletes the following files

%TEMP%\tmp4837.tmp
%TEMP%\tmp57f1.tmp
%TEMP%\tmp57df.tmp
%TEMP%\tmp57ce.tmp
%TEMP%\tmp57cc.tmp
%TEMP%\tmp57ab.tmp
%TEMP%\tmp57a9.tmp
%TEMP%\tmp5797.tmp
%TEMP%\tmp5785.tmp
%TEMP%\tmp5774.tmp
%TEMP%\tmp5762.tmp
%TEMP%\tmp565c.tmp
%TEMP%\tmp5760.tmp
%TEMP%\tmp573d.tmp
%TEMP%\tmp572b.tmp
%TEMP%\tmp570a.tmp
%TEMP%\tmp56f9.tmp
%TEMP%\tmp56d7.tmp
%TEMP%\tmp56d5.tmp
%TEMP%\tmp56b4.tmp
%TEMP%\tmp5693.tmp
%TEMP%\tmp5691.tmp
%TEMP%\tmp5670.tmp
%TEMP%\tmp574f.tmp
%TEMP%\tmp566e.tmp
%TEMP%\tmp5803.tmp
%TEMP%\tmp58a9.tmp
%TEMP%\tmp5997.tmp
%TEMP%\tmp5977.tmp
%TEMP%\tmp5967.tmp
%TEMP%\tmp5936.tmp
%TEMP%\tmp5924.tmp
%TEMP%\tmp5922.tmp
%TEMP%\tmp58e2.tmp
%TEMP%\tmp58e0.tmp
%TEMP%\tmp58ce.tmp
%TEMP%\tmp58bd.tmp
%TEMP%\tmp5816.tmp
%TEMP%\tmp5805.tmp
%TEMP%\tmp5897.tmp
%TEMP%\tmp5886.tmp
%TEMP%\tmp5874.tmp
%TEMP%\tmp5863.tmp
%TEMP%\tmp5861.tmp
%TEMP%\tmp584f.tmp
%TEMP%\tmp584d.tmp
%TEMP%\tmp583b.tmp
%TEMP%\tmp582a.tmp
%TEMP%\tmp5828.tmp
%TEMP%\tmp58bb.tmp
%TEMP%\tmp561c.tmp
%TEMP%\tmp4cae.tmp
%TEMP%\tmp4c9e.tmp
%TEMP%\tmp4a93.tmp
%TEMP%\tmp4a81.tmp
%TEMP%\tmp4a6f.tmp
%TEMP%\tmp4a5e.tmp
%TEMP%\tmp4a4c.tmp
%TEMP%\tmp4a3b.tmp
%TEMP%\tmp4a29.tmp
%TEMP%\tmp4a08.tmp
%TEMP%\tmp49d7.tmp
%TEMP%\tmp4aa6.tmp
%TEMP%\tmp49c5.tmp
%TEMP%\tmp49b2.tmp
%TEMP%\tmp49a0.tmp
%TEMP%\tmp498f.tmp
%TEMP%\tmp497d.tmp
%TEMP%\tmp496b.tmp
%TEMP%\tmp493b.tmp
%TEMP%\tmp4929.tmp
%TEMP%\tmp4917.tmp
%TEMP%\tmp4906.tmp
%TEMP%\tmp48f4.tmp
%TEMP%\tmp49b4.tmp
%TEMP%\tmp4ad7.tmp
%TEMP%\tmp4a95.tmp
%TEMP%\tmp4ae9.tmp
%TEMP%\tmp4c7d.tmp
%TEMP%\tmp4bae.tmp
%TEMP%\tmp4c5d.tmp
%TEMP%\tmp4c4d.tmp
%TEMP%\tmp4c3b.tmp
%TEMP%\tmp4c39.tmp
%TEMP%\tmp4c27.tmp
%TEMP%\tmp4c16.tmp
%TEMP%\tmp4c04.tmp
%TEMP%\tmp4be3.tmp
%TEMP%\tmp4bd1.tmp
%TEMP%\tmp4bc0.tmp
%TEMP%\tmp4bac.tmp
%TEMP%\tmp4aeb.tmp
%TEMP%\tmp4b9b.tmp
%TEMP%\tmp4b89.tmp
%TEMP%\tmp4b77.tmp
%TEMP%\tmp4b75.tmp
%TEMP%\tmp4b54.tmp
%TEMP%\tmp4b52.tmp
%TEMP%\tmp4b41.tmp
%TEMP%\tmp4b2f.tmp
%TEMP%\tmp4b1d.tmp
%TEMP%\tmp4afc.tmp
%TEMP%\tmp59b8.tmp
%TEMP%\tmp59b9.tmp

Network activity

TCP

HTTP GET requests

http://ju###top.top/bestof/bestof.exe
http://ju###top.top/bestof/bestofd.exe
http://ip##pi.com/line/
http://ch#####.amazonaws.com/

HTTP POST requests

http://93.##4.128.121/IRemotePanel
http://rr##mal.xyz/IRemotePanel

'ip###ger.org':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ip###ger.org
DNS ASK ju###top.top
DNS ASK ip##pi.com
DNS ASK rr##mal.xyz
DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Miscellaneous

Searches for the following windows

ClassName: 'AutoHotkey' WindowName: '<Full path to file>'

Creates and executes the following

'%APPDATA%\thebestof\bestof.exe'
'%APPDATA%\thebestof\bestofd.exe'

Executes the following

'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical Information

Curing recommendations

Free trial