Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2616
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp5191.tmp
- %TEMP%\tmp5190.tmp
- %TEMP%\tmp518f.tmp
- %TEMP%\tmp517f.tmp
- %TEMP%\tmp517e.tmp
- %TEMP%\tmp517d.tmp
- %TEMP%\tmp517c.tmp
- %TEMP%\tmp516b.tmp
- %TEMP%\tmp516a.tmp
- %TEMP%\tmp5169.tmp
- %TEMP%\tmp5159.tmp
- %TEMP%\tmp5158.tmp
- %TEMP%\tmp5157.tmp
- %TEMP%\tmp5156.tmp
- %TEMP%\tmp5145.tmp
- %TEMP%\tmp5144.tmp
- %TEMP%\tmp5143.tmp
- %TEMP%\tmp5132.tmp
- %TEMP%\tmp5131.tmp
- %TEMP%\tmp5130.tmp
- %TEMP%\tmp512f.tmp
- %TEMP%\tmp51a2.tmp
- %TEMP%\tmp51a3.tmp
- %TEMP%\tmp51a4.tmp
- %TEMP%\tmp51b5.tmp
- %TEMP%\tmp5238.tmp
- %TEMP%\tmp5227.tmp
- %TEMP%\tmp5217.tmp
- %TEMP%\tmp5216.tmp
- %TEMP%\tmp5215.tmp
- %TEMP%\tmp5214.tmp
- %TEMP%\tmp5203.tmp
- %TEMP%\tmp5202.tmp
- %TEMP%\tmp5201.tmp
- %TEMP%\tmp5200.tmp
- %TEMP%\tmp51ee.tmp
- %TEMP%\tmp51ef.tmp
- %TEMP%\tmp51ed.tmp
- %TEMP%\tmp51dd.tmp
- %TEMP%\tmp51dc.tmp
- %TEMP%\tmp51db.tmp
- %TEMP%\tmp51ca.tmp
- %TEMP%\tmp51c9.tmp
- %TEMP%\tmp51c8.tmp
- %TEMP%\tmp51b8.tmp
- %TEMP%\tmp51b7.tmp
- %TEMP%\tmp51b6.tmp
- %TEMP%\tmp5258.tmp
- %TEMP%\tmp511f.tmp
- %TEMP%\tmp511e.tmp
- %TEMP%\tmp511d.tmp
- %TEMP%\tmp5046.tmp
- %TEMP%\tmp5045.tmp
- %TEMP%\tmp5034.tmp
- %TEMP%\tmp5033.tmp
- %TEMP%\tmp5022.tmp
- %TEMP%\tmp5021.tmp
- %TEMP%\tmp5011.tmp
- %TEMP%\tmp5000.tmp
- %TEMP%\tmp4ff0.tmp
- %TEMP%\tmp4fef.tmp
- %TEMP%\tmp4fee.tmp
- %TEMP%\tmp4fdd.tmp
- %TEMP%\tmp4fdc.tmp
- %TEMP%\tmp4fcb.tmp
- %TEMP%\tmp4fca.tmp
- %TEMP%\tmp4fba.tmp
- %TEMP%\tmp4fb9.tmp
- %TEMP%\tmp4fa8.tmp
- %TEMP%\tmp4fa7.tmp
- %TEMP%\tmp4f58.tmp
- %TEMP%\tmp4f57.tmp
- %TEMP%\tmp5047.tmp
- %TEMP%\tmp5057.tmp
- %TEMP%\tmp5058.tmp
- %TEMP%\tmp5069.tmp
- %TEMP%\tmp510b.tmp
- %TEMP%\tmp510a.tmp
- %TEMP%\tmp50fa.tmp
- %TEMP%\tmp50f9.tmp
- %TEMP%\tmp50e8.tmp
- %TEMP%\tmp50e7.tmp
- %TEMP%\tmp50e6.tmp
- %TEMP%\tmp50d5.tmp
- %TEMP%\tmp50c5.tmp
- %TEMP%\tmp50c4.tmp
- %TEMP%\tmp50b2.tmp
- %TEMP%\tmp50b3.tmp
- %TEMP%\tmp50a2.tmp
- %TEMP%\tmp50a1.tmp
- %TEMP%\tmp50a0.tmp
- %TEMP%\tmp508f.tmp
- %TEMP%\tmp508e.tmp
- %TEMP%\tmp507d.tmp
- %TEMP%\tmp507c.tmp
- %TEMP%\tmp507b.tmp
- %TEMP%\tmp506b.tmp
- %TEMP%\tmp506a.tmp
- %TEMP%\tmp510c.tmp
- %TEMP%\tmp5269.tmp
Удаляет следующие файлы
- %TEMP%\tmp4f58.tmp
- %TEMP%\tmp5157.tmp
- %TEMP%\tmp5159.tmp
- %TEMP%\tmp516a.tmp
- %TEMP%\tmp517c.tmp
- %TEMP%\tmp517e.tmp
- %TEMP%\tmp518f.tmp
- %TEMP%\tmp5191.tmp
- %TEMP%\tmp51a3.tmp
- %TEMP%\tmp51b5.tmp
- %TEMP%\tmp5143.tmp
- %TEMP%\tmp5145.tmp
- %TEMP%\tmp51b7.tmp
- %TEMP%\tmp51dc.tmp
- %TEMP%\tmp51ed.tmp
- %TEMP%\tmp51ef.tmp
- %TEMP%\tmp5201.tmp
- %TEMP%\tmp5203.tmp
- %TEMP%\tmp5215.tmp
- %TEMP%\tmp5217.tmp
- %TEMP%\tmp5227.tmp
- %TEMP%\tmp5238.tmp
- %TEMP%\tmp51c8.tmp
- %TEMP%\tmp51ca.tmp
- %TEMP%\tmp5131.tmp
- %TEMP%\tmp512f.tmp
- %TEMP%\tmp511e.tmp
- %TEMP%\tmp4fba.tmp
- %TEMP%\tmp4fcb.tmp
- %TEMP%\tmp4fdd.tmp
- %TEMP%\tmp4fef.tmp
- %TEMP%\tmp5000.tmp
- %TEMP%\tmp5021.tmp
- %TEMP%\tmp5033.tmp
- %TEMP%\tmp5045.tmp
- %TEMP%\tmp5047.tmp
- %TEMP%\tmp5058.tmp
- %TEMP%\tmp4fa8.tmp
- %TEMP%\tmp506a.tmp
- %TEMP%\tmp507d.tmp
- %TEMP%\tmp508f.tmp
- %TEMP%\tmp50a1.tmp
- %TEMP%\tmp50b2.tmp
- %TEMP%\tmp50c4.tmp
- %TEMP%\tmp50d5.tmp
- %TEMP%\tmp50e7.tmp
- %TEMP%\tmp50f9.tmp
- %TEMP%\tmp510a.tmp
- %TEMP%\tmp510c.tmp
- %TEMP%\tmp507b.tmp
- %TEMP%\tmp5258.tmp
- %TEMP%\tmp5269.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://13#.###.180.127:35253/IRemotePanel via 13#.#24.180.127
UDP
- DNS ASK zj###.koomj.ru
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2616 && choice /C Y /N /D Y /T 3 & Del "%LOCALAPPDATA%\Google\Chrome\User Data\Default\chrome.exe"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
