Trojan.PWS.Siggen2.61567

Technical Information

Malicious functions

Reads files which store third party applications passwords

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Modifies file system

Creates the following files

%TEMP%\tmpd087.tmp
%TEMP%\tmpd3ec.tmp
%TEMP%\tmpd36e.tmp
%TEMP%\tmpd36d.tmp
%TEMP%\tmpd36c.tmp
%TEMP%\tmpd35c.tmp
%TEMP%\tmpd35b.tmp
%TEMP%\tmpd35a.tmp
%TEMP%\tmpd349.tmp
%TEMP%\tmpd348.tmp
%TEMP%\tmpd347.tmp
%TEMP%\tmpd346.tmp
%TEMP%\tmpd345.tmp
%TEMP%\tmpd315.tmp
%TEMP%\tmpd314.tmp
%TEMP%\tmpd304.tmp
%TEMP%\tmpd303.tmp
%TEMP%\tmpd302.tmp
%TEMP%\tmpd2f1.tmp
%TEMP%\tmpd2f0.tmp
%TEMP%\tmpd2df.tmp
%TEMP%\tmpd2de.tmp
%TEMP%\tmpd2cd.tmp
%TEMP%\tmpd2dd.tmp
%TEMP%\tmpd3fd.tmp
%TEMP%\tmpd3fe.tmp
%TEMP%\tmpd4ee.tmp
%TEMP%\tmpd4af.tmp
%TEMP%\tmpd48e.tmp
%TEMP%\tmpd48d.tmp
%TEMP%\tmpd48c.tmp
%TEMP%\tmpd47c.tmp
%TEMP%\tmpd46b.tmp
%TEMP%\tmpd46a.tmp
%TEMP%\tmpd45a.tmp
%TEMP%\tmpd459.tmp
%TEMP%\tmpd447.tmp
%TEMP%\tmpd251.tmp
%TEMP%\tmpd446.tmp
%TEMP%\tmpd435.tmp
%TEMP%\tmpd434.tmp
%TEMP%\tmpd424.tmp
%TEMP%\tmpd423.tmp
%TEMP%\tmpd422.tmp
%TEMP%\tmpd411.tmp
%TEMP%\tmpd410.tmp
%TEMP%\tmpd40f.tmp
%TEMP%\tmpd3ff.tmp
%TEMP%\tmpd2cc.tmp
%TEMP%\tmpd2cb.tmp
%TEMP%\tmpd2ba.tmp
%TEMP%\tmpd1c4.tmp
%TEMP%\tmpd1b3.tmp
%TEMP%\tmpd1b2.tmp
%TEMP%\tmpd1b1.tmp
%TEMP%\tmpd1a1.tmp
%TEMP%\tmpd1a0.tmp
%TEMP%\tmpd19f.tmp
%TEMP%\tmpd18e.tmp
%TEMP%\tmpd18d.tmp
%TEMP%\tmpd17c.tmp
%TEMP%\tmpd16c.tmp
%TEMP%\tmpd15b.tmp
%TEMP%\tmpd15a.tmp
%TEMP%\tmpd14a.tmp
%TEMP%\tmpd139.tmp
%TEMP%\tmpd138.tmp
%TEMP%\tmpd127.tmp
%TEMP%\tmpd126.tmp
%TEMP%\tmpd116.tmp
%TEMP%\tmpd0a8.tmp
%TEMP%\tmpd1d5.tmp
%TEMP%\tmpd1d6.tmp
%TEMP%\tmpd1d4.tmp
%TEMP%\tmpd1e7.tmp
%TEMP%\tmpd2aa.tmp
%TEMP%\tmpd1e8.tmp
%TEMP%\tmpd299.tmp
%TEMP%\tmpd298.tmp
%TEMP%\tmpd287.tmp
%TEMP%\tmpd286.tmp
%TEMP%\tmpd276.tmp
%TEMP%\tmpd275.tmp
%TEMP%\tmpd274.tmp
%TEMP%\tmpd263.tmp
%TEMP%\tmpd262.tmp
%TEMP%\tmpd448.tmp
%TEMP%\tmpd50e.tmp
%TEMP%\tmpd240.tmp
%TEMP%\tmpd22f.tmp
%TEMP%\tmpd22e.tmp
%TEMP%\tmpd22d.tmp
%TEMP%\tmpd22c.tmp
%TEMP%\tmpd22b.tmp
%TEMP%\tmpd22a.tmp
%TEMP%\tmpd1fb.tmp
%TEMP%\tmpd1fa.tmp
%TEMP%\tmpd1e9.tmp
%TEMP%\tmpd252.tmp
%TEMP%\tmpd52e.tmp

Deletes the following files

%TEMP%\tmpd0a8.tmp
%TEMP%\tmpd304.tmp
%TEMP%\tmpd315.tmp
%TEMP%\tmpd346.tmp
%TEMP%\tmpd348.tmp
%TEMP%\tmpd35a.tmp
%TEMP%\tmpd35c.tmp
%TEMP%\tmpd36d.tmp
%TEMP%\tmpd3ec.tmp
%TEMP%\tmpd3fe.tmp
%TEMP%\tmpd2f0.tmp
%TEMP%\tmpd302.tmp
%TEMP%\tmpd40f.tmp
%TEMP%\tmpd434.tmp
%TEMP%\tmpd446.tmp
%TEMP%\tmpd448.tmp
%TEMP%\tmpd45a.tmp
%TEMP%\tmpd46b.tmp
%TEMP%\tmpd48c.tmp
%TEMP%\tmpd48e.tmp
%TEMP%\tmpd4af.tmp
%TEMP%\tmpd4ee.tmp
%TEMP%\tmpd411.tmp
%TEMP%\tmpd423.tmp
%TEMP%\tmpd2de.tmp
%TEMP%\tmpd2cd.tmp
%TEMP%\tmpd2cb.tmp
%TEMP%\tmpd138.tmp
%TEMP%\tmpd14a.tmp
%TEMP%\tmpd15b.tmp
%TEMP%\tmpd17c.tmp
%TEMP%\tmpd18e.tmp
%TEMP%\tmpd1a0.tmp
%TEMP%\tmpd1b1.tmp
%TEMP%\tmpd1b3.tmp
%TEMP%\tmpd1d4.tmp
%TEMP%\tmpd1d6.tmp
%TEMP%\tmpd126.tmp
%TEMP%\tmpd1e8.tmp
%TEMP%\tmpd22a.tmp
%TEMP%\tmpd22c.tmp
%TEMP%\tmpd22e.tmp
%TEMP%\tmpd240.tmp
%TEMP%\tmpd252.tmp
%TEMP%\tmpd263.tmp
%TEMP%\tmpd275.tmp
%TEMP%\tmpd286.tmp
%TEMP%\tmpd298.tmp
%TEMP%\tmpd2aa.tmp
%TEMP%\tmpd1fa.tmp
%TEMP%\tmpd50e.tmp
%TEMP%\tmpd52e.tmp

Network activity

Connects to

'nn##ch.xyz':80
'ap#.ip.sb':443
'wh###.iana.org':43
'WH###.RIPE.NET':43

TCP

HTTP POST requests

http://nn##ch.xyz/

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK nn##ch.xyz
DNS ASK ap#.ip.sb
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android