Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\otclijv.exe
- %TEMP%\qolqluvotjgp\files_\cookies\opera.txt
- %TEMP%\qolqluvotjgp\c5jmn.tmp
- %TEMP%\qolqluvotjgp\fehs8.tmp
- %TEMP%\qolqluvotjgp\_files\_allforms_list.txt
- %TEMP%\qolqluvotjgp\files_\forms.txt
- %TEMP%\qolqluvotjgp\c5jmn.tmp-shm
- %TEMP%\qolqluvotjgp\files_\cookies\mozilla_firefox.txt
- %TEMP%\qolqluvotjgp\mckl.tmp
- %TEMP%\qolqluvotjgp\_files\_screen_desktop.jpeg
- %TEMP%\qolqluvotjgp\_files\_information.txt
- %TEMP%\qolqluvotjgp\files_\screenshot.jpg
- %TEMP%\qolqluvotjgp\files_\system_info.txt
- %TEMP%\qolqluvotjgp\hinzyfajkm.zip
- %TEMP%\8138.tmp
- %TEMP%\qolqluvotjgp\_files\_cookies\opera.txt
- %TEMP%\qolqluvotjgp\gucc.tmp
- %TEMP%\qolqluvotjgp\qasxki.tmp
- %TEMP%\qolqluvotjgp\3l1w.tmp
- %TEMP%\qolqluvotjgp\files_\cookies.txt
- %TEMP%\qolqluvotjgp\_files\_allcookies_list.txt
- %TEMP%\qolqluvotjgp\files_\cookies\google_chrome.txt
- %TEMP%\qolqluvotjgp\_files\_cookies\google_chrome.txt
- %TEMP%\qolqluvotjgp\1rneus.tmp
- %TEMP%\qolqluvotjgp\_files\_cookies\mozilla_firefox.txt
- %TEMP%\qolqluvotjgp\sfdz.tmp
- %TEMP%\qolqluvotjgp\rxmgh.tmp
- %TEMP%\qolqluvotjgp\ywoes.tmp
- %TEMP%\qolqluvotjgp\dfqzv.tmp
- %TEMP%\qolqluvotjgp\is3e.tmp
- %TEMP%\qolqluvotjgp\swqv.tmp
- %TEMP%\qolqluvotjgp\prkhn.tmp
- %TEMP%\ckyymjr.vbs
- %TEMP%\rqwbnsefdcx.vbs
Удаляет следующие файлы
- %TEMP%\qolqluvotjgp\c5jmn.tmp-shm
Сетевая активность
TCP
Запросы HTTP GET
- http://ip##pi.com/json
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK ot###pp02.top
- DNS ASK ip##pi.com
- DNS ASK 2n#.co
- DNS ASK microsoft.com
- DNS ASK bi###cket.org
- DNS ASK ip###ger.org
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\otclijv.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\ckyymjr.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\rqwbnsefdcx.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\otclijv.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\cgndbog.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\wqbjbiutvokq.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\krtnnmyjs.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\ckyymjr.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\rqwbnsefdcx.vbs"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\otclijv.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\cgndbog.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\wqbjbiutvokq.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\krtnnmyjs.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\ckyymjr.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\rqwbnsefdcx.vbs"
