Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /PID 3296
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles%\steam\config\config.vdf
- %ProgramFiles%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\chromium\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpf3b1.tmp
- %TEMP%\tmpf708.tmp
- %TEMP%\tmpf707.tmp
- %TEMP%\tmpf6f6.tmp
- %TEMP%\tmpf6f5.tmp
- %TEMP%\tmpf6f4.tmp
- %TEMP%\tmpf6e4.tmp
- %TEMP%\tmpf6e3.tmp
- %TEMP%\tmpf6e2.tmp
- %TEMP%\tmpf6d1.tmp
- %TEMP%\tmpf6c1.tmp
- %TEMP%\tmpf6c0.tmp
- %TEMP%\tmpf6bf.tmp
- %TEMP%\tmpf6ae.tmp
- %TEMP%\tmpf6ad.tmp
- %TEMP%\tmpf6ac.tmp
- %TEMP%\tmpf69b.tmp
- %TEMP%\tmpf69a.tmp
- %TEMP%\tmpf699.tmp
- %TEMP%\tmpf689.tmp
- %TEMP%\tmpf688.tmp
- %TEMP%\tmpf677.tmp
- %TEMP%\tmpf667.tmp
- %TEMP%\tmpf666.tmp
- %TEMP%\tmpf665.tmp
- %TEMP%\tmpf654.tmp
- %TEMP%\tmpf653.tmp
- %TEMP%\tmpf652.tmp
- %TEMP%\tmpf640.tmp
- %TEMP%\tmpf641.tmp
- %TEMP%\tmpf709.tmp
- %TEMP%\tmpf71a.tmp
- C:\users\public\k0im4xo3.default\key3.db
- %TEMP%\tmpfadd.tmp
- %TEMP%\tmpf7c0.tmp
- %TEMP%\tmpf7bf.tmp
- %TEMP%\tmpf7be.tmp
- %TEMP%\tmpf7ad.tmp
- %TEMP%\tmpf7ac.tmp
- %TEMP%\tmpf7ab.tmp
- %TEMP%\tmpf79b.tmp
- %TEMP%\tmpf79a.tmp
- %TEMP%\tmpf799.tmp
- %TEMP%\tmpf788.tmp
- %TEMP%\tmpf787.tmp
- %TEMP%\tmpf776.tmp
- %TEMP%\tmpf5a2.tmp
- %TEMP%\tmpf775.tmp
- %TEMP%\tmpf764.tmp
- %TEMP%\tmpf763.tmp
- %TEMP%\tmpf762.tmp
- %TEMP%\tmpf751.tmp
- %TEMP%\tmpf750.tmp
- %TEMP%\tmpf74f.tmp
- %TEMP%\tmpf73f.tmp
- %TEMP%\tmpf73e.tmp
- %TEMP%\tmpf73d.tmp
- %TEMP%\tmpf73c.tmp
- %TEMP%\tmpf72b.tmp
- %TEMP%\tmpf72a.tmp
- %TEMP%\tmpf630.tmp
- %TEMP%\tmpf62f.tmp
- %TEMP%\tmpf61e.tmp
- %TEMP%\tmpf4a5.tmp
- %TEMP%\tmpf4a4.tmp
- %TEMP%\tmpf493.tmp
- %TEMP%\tmpf492.tmp
- %TEMP%\tmpf482.tmp
- %TEMP%\tmpf481.tmp
- %TEMP%\tmpf480.tmp
- %TEMP%\tmpf46f.tmp
- %TEMP%\tmpf46e.tmp
- %TEMP%\tmpf46d.tmp
- %TEMP%\tmpf45d.tmp
- %TEMP%\tmpf45c.tmp
- %TEMP%\tmpf45b.tmp
- %TEMP%\tmpf44a.tmp
- %TEMP%\tmpf449.tmp
- %TEMP%\tmpf438.tmp
- %TEMP%\tmpf437.tmp
- %TEMP%\tmpf436.tmp
- %TEMP%\tmpf426.tmp
- %TEMP%\tmpf425.tmp
- %TEMP%\tmpf424.tmp
- %TEMP%\tmpf413.tmp
- %TEMP%\tmpf412.tmp
- %TEMP%\tmpf411.tmp
- %TEMP%\tmpf401.tmp
- %TEMP%\tmpf3c1.tmp
- %TEMP%\tmpf4b7.tmp
- %TEMP%\tmpf4d7.tmp
- %TEMP%\tmpf4b6.tmp
- %TEMP%\tmpf4d8.tmp
- %TEMP%\tmpf61d.tmp
- %TEMP%\tmpf4e8.tmp
- %TEMP%\tmpf60d.tmp
- %TEMP%\tmpf60c.tmp
- %TEMP%\tmpf60b.tmp
- %TEMP%\tmpf5fa.tmp
- %TEMP%\tmpf5f9.tmp
- %TEMP%\tmpf5e8.tmp
- %TEMP%\tmpf5e7.tmp
- %TEMP%\tmpf5d7.tmp
- %TEMP%\tmpf5d6.tmp
- %TEMP%\tmpf5c5.tmp
- %TEMP%\tmpf5b5.tmp
- %TEMP%\tmpf5a4.tmp
- %TEMP%\tmpf786.tmp
- %TEMP%\tmpfafd.tmp
- %TEMP%\tmpf591.tmp
- %TEMP%\tmpf581.tmp
- %TEMP%\tmpf580.tmp
- %TEMP%\tmpf56f.tmp
- %TEMP%\tmpf56e.tmp
- %TEMP%\tmpf55e.tmp
- %TEMP%\tmpf54d.tmp
- %TEMP%\tmpf53c.tmp
- %TEMP%\tmpf53b.tmp
- %TEMP%\tmpf52b.tmp
- %TEMP%\tmpf51a.tmp
- %TEMP%\tmpf519.tmp
- %TEMP%\tmpf4f9.tmp
- %TEMP%\tmpf5a3.tmp
- C:\users\public\10e4mhmg.default\key3.db
Удаляет следующие файлы
- %TEMP%\tmpf3c1.tmp
- %TEMP%\tmpf666.tmp
- %TEMP%\tmpf677.tmp
- %TEMP%\tmpf689.tmp
- %TEMP%\tmpf69a.tmp
- %TEMP%\tmpf6ac.tmp
- %TEMP%\tmpf6ae.tmp
- %TEMP%\tmpf6c0.tmp
- %TEMP%\tmpf6d1.tmp
- %TEMP%\tmpf6e3.tmp
- %TEMP%\tmpf6f4.tmp
- %TEMP%\tmpf6f6.tmp
- %TEMP%\tmpf708.tmp
- %TEMP%\tmpf4e8.tmp
- %TEMP%\tmpf71a.tmp
- %TEMP%\tmpf73d.tmp
- %TEMP%\tmpf73f.tmp
- %TEMP%\tmpf750.tmp
- %TEMP%\tmpf762.tmp
- %TEMP%\tmpf764.tmp
- %TEMP%\tmpf776.tmp
- %TEMP%\tmpf787.tmp
- %TEMP%\tmpf799.tmp
- %TEMP%\tmpf79b.tmp
- %TEMP%\tmpf7ac.tmp
- %TEMP%\tmpf7be.tmp
- %TEMP%\tmpf7c0.tmp
- %TEMP%\tmpf652.tmp
- %TEMP%\tmpf654.tmp
- %TEMP%\tmpf640.tmp
- %TEMP%\tmpf62f.tmp
- %TEMP%\tmpf61d.tmp
- %TEMP%\tmpf413.tmp
- %TEMP%\tmpf425.tmp
- %TEMP%\tmpf436.tmp
- %TEMP%\tmpf438.tmp
- %TEMP%\tmpf44a.tmp
- %TEMP%\tmpf45c.tmp
- %TEMP%\tmpf46d.tmp
- %TEMP%\tmpf46f.tmp
- %TEMP%\tmpf481.tmp
- %TEMP%\tmpf492.tmp
- %TEMP%\tmpf4a4.tmp
- %TEMP%\tmpf4b6.tmp
- %TEMP%\tmpfadd.tmp
- %TEMP%\tmpf72b.tmp
- %TEMP%\tmpf4d7.tmp
- %TEMP%\tmpf52b.tmp
- %TEMP%\tmpf53c.tmp
- %TEMP%\tmpf55e.tmp
- %TEMP%\tmpf56f.tmp
- %TEMP%\tmpf581.tmp
- %TEMP%\tmpf5a2.tmp
- %TEMP%\tmpf5a4.tmp
- %TEMP%\tmpf5c5.tmp
- %TEMP%\tmpf5d7.tmp
- %TEMP%\tmpf5e8.tmp
- %TEMP%\tmpf5fa.tmp
- %TEMP%\tmpf60c.tmp
- %TEMP%\tmpf411.tmp
- %TEMP%\tmpf519.tmp
- %TEMP%\tmpfafd.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://mo###erry.pk/IRemotePanel
UDP
- DNS ASK mo###erry.pk
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C taskkill /F /PID 3296 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
