Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\grf\ivm21_protected.exe
- %APPDATA%\opera software\opera stable\cookiesm
- %APPDATA%\opera software\opera stable\web datam
- %PROGRAMDATA%\ytrss8g\files_\cookies\google_chrome.txt
- %PROGRAMDATA%\ytrss8g\files_\cookies.txt
- %PROGRAMDATA%\ytrss8g\files_\cookies\opera.txt
- %LOCALAPPDATA%\google\chrome\user data\default\web datam
- %APPDATA%\opera software\opera stable\login datam
- %PROGRAMDATA%\ytrss8g\maa.db
- %PROGRAMDATA%\ytrss8g\files_\cookies\mozilla_firefox.txt
- %PROGRAMDATA%\ytrss8g\files_\screenshot.jpg
- %PROGRAMDATA%\ytrss8g\files_\system_info.txt
- %PROGRAMDATA%\kxae2jm0tx\_files\_screen_desktop.jpeg
- %PROGRAMDATA%\ytrss8g\eh8ecufwpc.zip
- %PROGRAMDATA%\ytrss8g\mac.db
- %PROGRAMDATA%\ytrss8g\mac.db-shm
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesm
- %LOCALAPPDATA%\google\chrome\user data\default\login datam
- %PROGRAMDATA%\ytrss8g\xbtcq0.txt
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
- %PROGRAMDATA%\kxae2jm0tx\0zgo0wb.txt
- %PROGRAMDATA%\kxae2jm0tx\_files\_cookies\google_chrome.txt
- %PROGRAMDATA%\kxae2jm0tx\_files\_cookies\opera.txt
- %PROGRAMDATA%\kxae2jm0tx\maa.db
- %PROGRAMDATA%\kxae2jm0tx\mac.db
- %PROGRAMDATA%\kxae2jm0tx\mac.db-shm
- %PROGRAMDATA%\kxae2jm0tx\_files\_cookies\mozilla_firefox.txt
- %PROGRAMDATA%\grf\ivm22_protected.exe
- %PROGRAMDATA%\kxae2jm0tx\_files\_allcookies_list.txt
- %PROGRAMDATA%\kxae2jm0tx\_files\_information.txt
- %PROGRAMDATA%\kxae2jm0tx\sr7q3nkrft.zip
Удаляет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
- %PROGRAMDATA%\kxae2jm0tx\mac.db-shm
- %LOCALAPPDATA%\google\chrome\user data\default\login datam
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesm
- %LOCALAPPDATA%\google\chrome\user data\default\web datam
- %APPDATA%\opera software\opera stable\login datam
- %APPDATA%\opera software\opera stable\cookiesm
- %APPDATA%\opera software\opera stable\web datam
- %PROGRAMDATA%\ytrss8g\mac.db-shm
Подменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
- %LOCALAPPDATA%\google\chrome\user data\default\login datam
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesm
- %LOCALAPPDATA%\google\chrome\user data\default\web datam
- %APPDATA%\opera software\opera stable\login datam
- %APPDATA%\opera software\opera stable\cookiesm
- %APPDATA%\opera software\opera stable\web datam
Сетевая активность
TCP
Запросы HTTP GET
- http://ip##pi.com/line
UDP
- DNS ASK ip##pi.com
- DNS ASK ip###ger.org
- DNS ASK tw##s04.top
- DNS ASK to###k05.top
- DNS ASK rr###ad05.top
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%PROGRAMDATA%\grf\ivm21_protected.exe'
- '%PROGRAMDATA%\grf\ivm22_protected.exe'
