Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2944
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp5ab.tmp
- %TEMP%\tmp1446.tmp
- %TEMP%\tmp1445.tmp
- %TEMP%\tmp1434.tmp
- %TEMP%\tmp1433.tmp
- %TEMP%\tmp1432.tmp
- %TEMP%\tmp1431.tmp
- %TEMP%\tmp1430.tmp
- %TEMP%\tmp1420.tmp
- %TEMP%\tmp141f.tmp
- %TEMP%\tmp141e.tmp
- %TEMP%\tmp141d.tmp
- %TEMP%\tmp140c.tmp
- %TEMP%\tmp135f.tmp
- %TEMP%\tmp135e.tmp
- %TEMP%\tmp131f.tmp
- %TEMP%\tmp131e.tmp
- %TEMP%\tmp131d.tmp
- %TEMP%\tmp130c.tmp
- %TEMP%\tmp12cd.tmp
- %TEMP%\tmp12cc.tmp
- %TEMP%\tmp12bb.tmp
- %TEMP%\tmp12b9.tmp
- %TEMP%\tmp12ba.tmp
- %TEMP%\tmp1447.tmp
- %TEMP%\tmp1448.tmp
- %TEMP%\tmp15f3.tmp
- %TEMP%\tmp1508.tmp
- %TEMP%\tmp14b9.tmp
- %TEMP%\tmp14a9.tmp
- %TEMP%\tmp14a8.tmp
- %TEMP%\tmp14a7.tmp
- %TEMP%\tmp14a6.tmp
- %TEMP%\tmp1495.tmp
- %TEMP%\tmp1494.tmp
- %TEMP%\tmp1493.tmp
- %TEMP%\tmp1482.tmp
- %TEMP%\tmp1153.tmp
- %TEMP%\tmp1481.tmp
- %TEMP%\tmp1470.tmp
- %TEMP%\tmp146f.tmp
- %TEMP%\tmp146e.tmp
- %TEMP%\tmp146d.tmp
- %TEMP%\tmp145c.tmp
- %TEMP%\tmp145b.tmp
- %TEMP%\tmp145a.tmp
- %TEMP%\tmp1459.tmp
- %TEMP%\tmp1458.tmp
- %TEMP%\tmp12a9.tmp
- %TEMP%\tmp121b.tmp
- %TEMP%\tmp11fb.tmp
- %TEMP%\tmp10c6.tmp
- %TEMP%\tmp10a6.tmp
- %TEMP%\tmp10a5.tmp
- %TEMP%\tmp10a4.tmp
- %TEMP%\tmp1094.tmp
- %TEMP%\tmp1093.tmp
- %TEMP%\tmp1092.tmp
- %TEMP%\tmpfd5.tmp
- %TEMP%\tmpfd4.tmp
- %TEMP%\tmpfc4.tmp
- %TEMP%\tmpfc3.tmp
- %TEMP%\tmpfc2.tmp
- %TEMP%\tmpfb1.tmp
- %TEMP%\tmpf05.tmp
- %TEMP%\tmpf04.tmp
- %TEMP%\tmpef3.tmp
- %TEMP%\tmpea4.tmp
- %TEMP%\tmpea3.tmp
- %TEMP%\tmpea2.tmp
- %TEMP%\tmp628.tmp
- %TEMP%\tmp10d8.tmp
- %TEMP%\tmp10d9.tmp
- %TEMP%\tmp10c7.tmp
- %TEMP%\tmp10ea.tmp
- %TEMP%\tmp119d.tmp
- %TEMP%\tmp10eb.tmp
- %TEMP%\tmp118c.tmp
- %TEMP%\tmp118b.tmp
- %TEMP%\tmp118a.tmp
- %TEMP%\tmp1179.tmp
- %TEMP%\tmp1169.tmp
- %TEMP%\tmp1168.tmp
- %TEMP%\tmp1167.tmp
- %TEMP%\tmp1166.tmp
- %TEMP%\tmp1155.tmp
- %TEMP%\tmp1483.tmp
- %TEMP%\tmp1652.tmp
- %TEMP%\tmp1143.tmp
- %TEMP%\tmp1132.tmp
- %TEMP%\tmp1131.tmp
- %TEMP%\tmp1130.tmp
- %TEMP%\tmp112f.tmp
- %TEMP%\tmp111e.tmp
- %TEMP%\tmp111d.tmp
- %TEMP%\tmp111c.tmp
- %TEMP%\tmp111b.tmp
- %TEMP%\tmp10fb.tmp
- %TEMP%\tmp1154.tmp
- %TEMP%\tmp179b.tmp
Удаляет следующие файлы
- %TEMP%\tmp628.tmp
- %TEMP%\tmp131f.tmp
- %TEMP%\tmp135f.tmp
- %TEMP%\tmp141d.tmp
- %TEMP%\tmp141f.tmp
- %TEMP%\tmp1430.tmp
- %TEMP%\tmp1432.tmp
- %TEMP%\tmp1434.tmp
- %TEMP%\tmp1446.tmp
- %TEMP%\tmp1448.tmp
- %TEMP%\tmp12cd.tmp
- %TEMP%\tmp131d.tmp
- %TEMP%\tmp1459.tmp
- %TEMP%\tmp146f.tmp
- %TEMP%\tmp1481.tmp
- %TEMP%\tmp1483.tmp
- %TEMP%\tmp1494.tmp
- %TEMP%\tmp14a6.tmp
- %TEMP%\tmp14a8.tmp
- %TEMP%\tmp14b9.tmp
- %TEMP%\tmp1508.tmp
- %TEMP%\tmp15f3.tmp
- %TEMP%\tmp145b.tmp
- %TEMP%\tmp146d.tmp
- %TEMP%\tmp12bb.tmp
- %TEMP%\tmp12b9.tmp
- %TEMP%\tmp121b.tmp
- %TEMP%\tmpef3.tmp
- %TEMP%\tmpf05.tmp
- %TEMP%\tmpfc2.tmp
- %TEMP%\tmpfc4.tmp
- %TEMP%\tmpfd5.tmp
- %TEMP%\tmp1093.tmp
- %TEMP%\tmp10a4.tmp
- %TEMP%\tmp10a6.tmp
- %TEMP%\tmp10c7.tmp
- %TEMP%\tmp10d9.tmp
- %TEMP%\tmpea3.tmp
- %TEMP%\tmp10eb.tmp
- %TEMP%\tmp111d.tmp
- %TEMP%\tmp112f.tmp
- %TEMP%\tmp1131.tmp
- %TEMP%\tmp1143.tmp
- %TEMP%\tmp1154.tmp
- %TEMP%\tmp1166.tmp
- %TEMP%\tmp1168.tmp
- %TEMP%\tmp1179.tmp
- %TEMP%\tmp118b.tmp
- %TEMP%\tmp119d.tmp
- %TEMP%\tmp111b.tmp
- %TEMP%\tmp1652.tmp
- %TEMP%\tmp179b.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://80.##.224.239:35253/IRemotePanel via 80.##.224.239
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2944 && choice /C Y /N /D Y /T 3 & Del ""
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
