SHA1:
- 9da38402d3ae06fecf4c3469b93f02c9538eb017 (RAR-SFX)
- c798afd955ba5fecdc3ef5c73e33b5ed11f695c4 (finder__main__.pyc)
Троянец-шпион для устройств, работающих под управлением Microsoft Windows. Написан на языке Python. Является дальнейшей эволюцией троянца Trojan.PWS.Stealer.23370.
В корневой директории диска С: создает 3 папки со случайными именами до 8, 12 и 27 символов соответственно. В них троянец сохраняет результаты своей работы. С использованием сервиса ifconfig.co он получает IP-адрес инфицированного устройства. С целью дополнительного логирования IP-адреса зараженной машины отправляет запрос к URL https://enot272.neocities.org/IPLogger-output.txt. Сравнивает IP-адреса, полученные от ifconfig.co и enot272.neocities.org. Если адрес, полученный с помощью ifconfig.co, совпадает с одним из адресов списка, хранящегося на enot272.neocities.org, завершает свою работу. Проверяет наличие файла C:\\Documents and Settings\\Administrator\\Desktop\\my.txt, если он существует, также завершает свою работу.
Троянец крадет информацию из браузеров Vivaldi, Chrome, Яндекс.Браузер, Opera, Kometa, Orbitum, Comodo, Amigo и Torch. При этом похищаются данные из следующих папок, расположенных в папке текущего пользователя Windows:
\AppData\Local\Vivaldi\User Data\
\AppData\Local\Google\Chrome\User Data\
\AppData\Local\Yandex\YandexBrowser\User Data\
\AppData\Roaming\Opera Software\Opera Stable\
\AppData\Local\Kometa\User Data\
\AppData\Local\Orbitum\User Data\
\AppData\Local\Comodo\Dragon\User Data\
\AppData\Local\Amigo\User\User Data\
\AppData\Local\Torch\User Data\
Похищенная информация сохраняется в файлы "ChromiumLogins.txt" и "ChromiumCookies.txt", которые упаковываются в архив "<IP>.logs.zip", где <IP> - IP-адрес зараженного устройства.
Также троянец похищает ssfn-файлы и все файлы из подкаталога "config" папки клиента Steam. Эти файлы упаковываются в архив "Steam.zip".
Из папки %APPDATA%\Roaming\Telegram Desktop\tdata троянец копирует все файлы, имена которых начинаются с D877F783D5D3EF8C, из подкаталога D877F783D5D3EF8C копирует файл, имя которого начинается с «map». Если эту операцию выполнить не удалось, троянец читает значение ключа default в ветви системного реестра [HKCU\Software\Classes\tdesktop.tg\DefaultIcon] с целью получить путь к приложению Telegram.exe, после чего копирует файлы из папки приложения. Похищенные файлы упаковываются в архив Teleg.zip.
Копирует с рабочего стола файлы с расширениями ".txt", ".pdf", ".jpg", ".png", ".xls", ".doc", ".docx", ".sqlite", ".db", ".sqlite3", ".bak", ".sql", ".xml". Их вместе с другими архивами троянец помещает в архив с паролями от браузеров и загружает на зарегистрированный злоумышленниками аккаунт в сервисе pcloud.com.
