Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2120
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp2c08.tmp
- %TEMP%\tmp2c07.tmp
- %TEMP%\tmp2bf6.tmp
- %TEMP%\tmp2bf5.tmp
- %TEMP%\tmp2bf4.tmp
- %TEMP%\tmp2bf3.tmp
- %TEMP%\tmp2be3.tmp
- %TEMP%\tmp2be2.tmp
- %TEMP%\tmp2be1.tmp
- %TEMP%\tmp2be0.tmp
- %TEMP%\tmp2bdf.tmp
- %TEMP%\tmp2bde.tmp
- %TEMP%\tmp2bcd.tmp
- %TEMP%\tmp2bcc.tmp
- %TEMP%\tmp2bcb.tmp
- %TEMP%\tmp2bba.tmp
- %TEMP%\tmp2bb9.tmp
- %TEMP%\tmp2bb8.tmp
- %TEMP%\tmp2bb7.tmp
- %TEMP%\tmp2ba7.tmp
- %TEMP%\tmp2ba6.tmp
- %TEMP%\tmp2c09.tmp
- %TEMP%\tmp2c0a.tmp
- %TEMP%\tmp2c0b.tmp
- %TEMP%\tmp2c0c.tmp
- %TEMP%\tmp2c8f.tmp
- %TEMP%\tmp2c7e.tmp
- %TEMP%\tmp2c6e.tmp
- %TEMP%\tmp2c6d.tmp
- %TEMP%\tmp2c5c.tmp
- %TEMP%\tmp2c5b.tmp
- %TEMP%\tmp2c5a.tmp
- %TEMP%\tmp2c59.tmp
- %TEMP%\tmp2c49.tmp
- %TEMP%\tmp2c48.tmp
- %TEMP%\tmp2c46.tmp
- %TEMP%\tmp2c47.tmp
- %TEMP%\tmp2c45.tmp
- %TEMP%\tmp2c44.tmp
- %TEMP%\tmp2c33.tmp
- %TEMP%\tmp2c32.tmp
- %TEMP%\tmp2c31.tmp
- %TEMP%\tmp2c30.tmp
- %TEMP%\tmp2c1f.tmp
- %TEMP%\tmp2c1e.tmp
- %TEMP%\tmp2c1d.tmp
- %TEMP%\tmp2c1c.tmp
- %TEMP%\tmp2caf.tmp
- %TEMP%\tmp2ba5.tmp
- %TEMP%\tmp2ba4.tmp
- %TEMP%\tmp2ba3.tmp
- %TEMP%\tmp2b0a.tmp
- %TEMP%\tmp2af9.tmp
- %TEMP%\tmp2af8.tmp
- %TEMP%\tmp2af7.tmp
- %TEMP%\tmp2ae7.tmp
- %TEMP%\tmp2ae6.tmp
- %TEMP%\tmp2ad5.tmp
- %TEMP%\tmp2ac5.tmp
- %TEMP%\tmp2ac4.tmp
- %TEMP%\tmp2ac3.tmp
- %TEMP%\tmp2ab2.tmp
- %TEMP%\tmp2ab1.tmp
- %TEMP%\tmp2ab0.tmp
- %TEMP%\tmp2a9f.tmp
- %TEMP%\tmp2a9e.tmp
- %TEMP%\tmp2a9d.tmp
- %TEMP%\tmp2a8d.tmp
- %TEMP%\tmp2a8c.tmp
- %TEMP%\tmp2a8b.tmp
- %TEMP%\tmp2a0d.tmp
- %TEMP%\tmp2a0c.tmp
- %TEMP%\tmp2b0b.tmp
- %TEMP%\tmp2b0c.tmp
- %TEMP%\tmp2b1d.tmp
- %TEMP%\tmp2b1e.tmp
- %TEMP%\tmp2b91.tmp
- %TEMP%\tmp2b81.tmp
- %TEMP%\tmp2b80.tmp
- %TEMP%\tmp2b7f.tmp
- %TEMP%\tmp2b7e.tmp
- %TEMP%\tmp2b6d.tmp
- %TEMP%\tmp2b6c.tmp
- %TEMP%\tmp2b6b.tmp
- %TEMP%\tmp2b6a.tmp
- %TEMP%\tmp2b59.tmp
- %TEMP%\tmp2b57.tmp
- %TEMP%\tmp2b58.tmp
- %TEMP%\tmp2b47.tmp
- %TEMP%\tmp2b46.tmp
- %TEMP%\tmp2b45.tmp
- %TEMP%\tmp2b44.tmp
- %TEMP%\tmp2b33.tmp
- %TEMP%\tmp2b32.tmp
- %TEMP%\tmp2b31.tmp
- %TEMP%\tmp2b30.tmp
- %TEMP%\tmp2b20.tmp
- %TEMP%\tmp2b1f.tmp
- %TEMP%\tmp2b92.tmp
- %TEMP%\tmp2cb0.tmp
Удаляет следующие файлы
- %TEMP%\tmp2a0d.tmp
- %TEMP%\tmp2bcd.tmp
- %TEMP%\tmp2bdf.tmp
- %TEMP%\tmp2be1.tmp
- %TEMP%\tmp2be3.tmp
- %TEMP%\tmp2bf4.tmp
- %TEMP%\tmp2bf6.tmp
- %TEMP%\tmp2c08.tmp
- %TEMP%\tmp2c0a.tmp
- %TEMP%\tmp2c0c.tmp
- %TEMP%\tmp2bb9.tmp
- %TEMP%\tmp2bcb.tmp
- %TEMP%\tmp2c1d.tmp
- %TEMP%\tmp2c33.tmp
- %TEMP%\tmp2c45.tmp
- %TEMP%\tmp2c47.tmp
- %TEMP%\tmp2c49.tmp
- %TEMP%\tmp2c5a.tmp
- %TEMP%\tmp2c5c.tmp
- %TEMP%\tmp2c6e.tmp
- %TEMP%\tmp2c7e.tmp
- %TEMP%\tmp2c8f.tmp
- %TEMP%\tmp2c1f.tmp
- %TEMP%\tmp2c31.tmp
- %TEMP%\tmp2bb7.tmp
- %TEMP%\tmp2ba6.tmp
- %TEMP%\tmp2ba4.tmp
- %TEMP%\tmp2a9d.tmp
- %TEMP%\tmp2a9f.tmp
- %TEMP%\tmp2ab1.tmp
- %TEMP%\tmp2ac3.tmp
- %TEMP%\tmp2ac5.tmp
- %TEMP%\tmp2ae6.tmp
- %TEMP%\tmp2af7.tmp
- %TEMP%\tmp2af9.tmp
- %TEMP%\tmp2b0b.tmp
- %TEMP%\tmp2b1d.tmp
- %TEMP%\tmp2a8c.tmp
- %TEMP%\tmp2b1f.tmp
- %TEMP%\tmp2b32.tmp
- %TEMP%\tmp2b44.tmp
- %TEMP%\tmp2b46.tmp
- %TEMP%\tmp2b57.tmp
- %TEMP%\tmp2b59.tmp
- %TEMP%\tmp2b6b.tmp
- %TEMP%\tmp2b6d.tmp
- %TEMP%\tmp2b7f.tmp
- %TEMP%\tmp2b81.tmp
- %TEMP%\tmp2b92.tmp
- %TEMP%\tmp2b30.tmp
- %TEMP%\tmp2caf.tmp
- %TEMP%\tmp2cb0.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://an####h.xyz:2086/IRemotePanel via an##uch.xyz
UDP
- DNS ASK gu##gili.ru
- DNS ASK an##uch.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2120 && choice /C Y /N /D Y /T 3 & Del "%LOCALAPPDATA%\Google\Chrome\User Data\Default\chrome.exe"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
