Trojan.Siggen17.29221

Technical Information

Malicious functions

Reads files which store third party applications passwords

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data

Modifies file system

Creates the following files

%TEMP%\nsd9f9a.tmp\system.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\sr.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\sl.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\sk.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ru.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ro.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\pt-pt.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\pt-br.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\sw.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\sv.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\nb.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ms.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\mr.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ml.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\lv.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\lt.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ko.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\pl.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ca.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ta.pak
%APPDATA%\opera software\opera stable\login data.bby
%LOCALAPPDATA%\google\chrome\user data\default\cookies.bby
%LOCALAPPDATA%\google\chrome\user data\default\web data.bby
%TEMP%\a8e91a49-4090-4c3b-9966-0674807b7822.tmp.node
%LOCALAPPDATA%\google\chrome\user data\default\login data.bby
%TEMP%\aa97cfd9-2aed-4fd7-b0f8-bca2f2ea5a47.tmp.node
%TEMP%\nsd9f9a.tmp\stdutils.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\swiftshader\libglesv2.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\swiftshader\libegl.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\resources\electron.asar
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\resources\app.asar
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\zh-tw.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\zh-cn.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\vi.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\uk.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\tr.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\th.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\kn.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\nl.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ja.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\it.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\id.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\libglesv2.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\am.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\wgamesetup.exe
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\v8_context_snapshot.bin
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\snapshot_blob.bin
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\resources.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\osmesa.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\natives_blob.bin
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\libegl.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\bg.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\icudtl.dat
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\ffmpeg.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\d3dcompiler_47.dll
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\chrome_200_percent.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\chrome_100_percent.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\licenses.chromium.html
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\license.electron.txt
%APPDATA%\opera software\opera stable\web data.bby
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\te.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\bn.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\da.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\ar.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\hu.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\hr.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\hi.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\he.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\gu.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\fr.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\fil.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\fi.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\fa.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\et.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\es.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\es-419.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\en-us.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\en-gb.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\el.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\de.pak
%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\locales\cs.pak
%APPDATA%\opera software\opera stable\cookies.bby

Network activity

Connects to

'su######iestindianparty.rip':443

TCP

Other

'su######iestindianparty.rip':443

UDP

DNS ASK su######iestindianparty.rip

Miscellaneous

Creates and executes the following

'%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\wgamesetup.exe'
'%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\wgamesetup.exe' --type=gpu-process --enable-features=SharedArrayBuffer --no-sandbox --gpu-preferences=KAAAAAAAAACAAwBAAQAAAAAAAAAAAGAAAAAAAAAAAAAIAAAAAAAAACgAAAAEAAAAIAAAAAAAAAAoAAAAAAAAADAAAAAAAAAAOAAAAAAAAAA...
'%TEMP%\26pjyzwtntzyv3kjsvobwkuq0ob\wgamesetup.exe' --type=gpu-process --enable-features=SharedArrayBuffer --disable-gpu-sandbox --no-sandbox --gpu-preferences=KAAAAAAAAACAAwBAAQAAAAAAAAAAAGAAAAAAAAAAAAAIAAAAAAAAACgAAAAEAAAAIAAAAAAAAAAoAAAAAAAAA...
'%WINDIR%\syswow64\cmd.exe' /d /s /c "tasklist"' (with hidden window)

Executes the following