Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\sde\2_protected.exe
- %LOCALAPPDATA%\google\chrome\user data\default\login datam
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesm
- %LOCALAPPDATA%\google\chrome\user data\default\web datam
- %APPDATA%\opera software\opera stable\login datam
- %APPDATA%\opera software\opera stable\cookiesm
- %APPDATA%\opera software\opera stable\web datam
- %PROGRAMDATA%\gzfdxl1kk\files_\cookies.txt
- %PROGRAMDATA%\odesslkkqu\_files\_cookies\google_chrome.txt
- %PROGRAMDATA%\gzfdxl1kk\files_\cookies\opera.txt
- %PROGRAMDATA%\gzfdxl1kk\maa.db
- %PROGRAMDATA%\gzfdxl1kk\mac.db
- %PROGRAMDATA%\gzfdxl1kk\mac.db-shm
- %PROGRAMDATA%\gzfdxl1kk\files_\cookies\mozilla_firefox.txt
- %PROGRAMDATA%\gzfdxl1kk\files_\screenshot.jpg
- %PROGRAMDATA%\odesslkkqu\0mxiyqv1ku.zip
- %PROGRAMDATA%\odesslkkqu\_files\_information.txt
- %PROGRAMDATA%\odesslkkqu\_files\_screen_desktop.jpeg
- %PROGRAMDATA%\odesslkkqu\_files\_cookies\mozilla_firefox.txt
- %PROGRAMDATA%\odesslkkqu\mac.db-shm
- %PROGRAMDATA%\odesslkkqu\mac.db
- %PROGRAMDATA%\odesslkkqu\maa.db
- %PROGRAMDATA%\odesslkkqu\_files\_cookies\opera.txt
- %PROGRAMDATA%\odesslkkqu\_files\_allcookies_list.txt
- %PROGRAMDATA%\gzfdxl1kk\files_\cookies\google_chrome.txt
- %APPDATA%\opera software\opera stable\web dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %PROGRAMDATA%\sde\1_protected.exe
- %PROGRAMDATA%\gzfdxl1kk\files_\system_info.txt
- %PROGRAMDATA%\gzfdxl1kk\kwfs1p5ouh.zip
Удаляет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
- %PROGRAMDATA%\odesslkkqu\mac.db-shm
- %LOCALAPPDATA%\google\chrome\user data\default\login datam
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesm
- %LOCALAPPDATA%\google\chrome\user data\default\web datam
- %APPDATA%\opera software\opera stable\login datam
- %APPDATA%\opera software\opera stable\cookiesm
- %APPDATA%\opera software\opera stable\web datam
- %PROGRAMDATA%\gzfdxl1kk\mac.db-shm
Подменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
- %LOCALAPPDATA%\google\chrome\user data\default\login datam
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesm
- %LOCALAPPDATA%\google\chrome\user data\default\web datam
- %APPDATA%\opera software\opera stable\login datam
- %APPDATA%\opera software\opera stable\cookiesm
- %APPDATA%\opera software\opera stable\web datam
Сетевая активность
UDP
- DNS ASK ip##pi.com
- DNS ASK ip###ger.org
- DNS ASK 2n#.co
- DNS ASK sa##t05.top
- DNS ASK ur##04.top
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%PROGRAMDATA%\sde\2_protected.exe'
- '%PROGRAMDATA%\sde\1_protected.exe'
