Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2280
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp5c5b.tmp
- %TEMP%\tmp5c5a.tmp
- %TEMP%\tmp5c49.tmp
- %TEMP%\tmp5c48.tmp
- %TEMP%\tmp5c47.tmp
- %TEMP%\tmp5c46.tmp
- %TEMP%\tmp5c35.tmp
- %TEMP%\tmp5c25.tmp
- %TEMP%\tmp5c24.tmp
- %TEMP%\tmp5c23.tmp
- %TEMP%\tmp5c22.tmp
- %TEMP%\tmp5c21.tmp
- %TEMP%\tmp5c10.tmp
- %TEMP%\tmp5c0f.tmp
- %TEMP%\tmp5bff.tmp
- %TEMP%\tmp5bfe.tmp
- %TEMP%\tmp5bfd.tmp
- %TEMP%\tmp5bec.tmp
- %TEMP%\tmp5beb.tmp
- %TEMP%\tmp5bea.tmp
- %TEMP%\tmp5be9.tmp
- %TEMP%\tmp5c5c.tmp
- %TEMP%\tmp5c6c.tmp
- %TEMP%\tmp5c6d.tmp
- %TEMP%\tmp5c6e.tmp
- %TEMP%\tmp5d11.tmp
- %TEMP%\tmp5cf0.tmp
- %TEMP%\tmp5ce0.tmp
- %TEMP%\tmp5cdf.tmp
- %TEMP%\tmp5cde.tmp
- %TEMP%\tmp5cdd.tmp
- %TEMP%\tmp5ccc.tmp
- %TEMP%\tmp5ccb.tmp
- %TEMP%\tmp5cbb.tmp
- %TEMP%\tmp5cba.tmp
- %TEMP%\tmp5cb8.tmp
- %TEMP%\tmp5cb9.tmp
- %TEMP%\tmp5ca7.tmp
- %TEMP%\tmp5ca6.tmp
- %TEMP%\tmp5c95.tmp
- %TEMP%\tmp5c94.tmp
- %TEMP%\tmp5c93.tmp
- %TEMP%\tmp5c92.tmp
- %TEMP%\tmp5c82.tmp
- %TEMP%\tmp5c81.tmp
- %TEMP%\tmp5c70.tmp
- %TEMP%\tmp5c6f.tmp
- %TEMP%\tmp5d40.tmp
- %TEMP%\tmp5bd8.tmp
- %TEMP%\tmp5bd7.tmp
- %TEMP%\tmp5bd6.tmp
- %TEMP%\tmp5aff.tmp
- %TEMP%\tmp5aef.tmp
- %TEMP%\tmp5aee.tmp
- %TEMP%\tmp5add.tmp
- %TEMP%\tmp5adc.tmp
- %TEMP%\tmp5acb.tmp
- %TEMP%\tmp5abb.tmp
- %TEMP%\tmp5aaa.tmp
- %TEMP%\tmp5aa9.tmp
- %TEMP%\tmp5aa8.tmp
- %TEMP%\tmp5a98.tmp
- %TEMP%\tmp5a97.tmp
- %TEMP%\tmp5a86.tmp
- %TEMP%\tmp5a85.tmp
- %TEMP%\tmp5a74.tmp
- %TEMP%\tmp5a73.tmp
- %TEMP%\tmp5a44.tmp
- %TEMP%\tmp5a43.tmp
- %TEMP%\tmp5a32.tmp
- %TEMP%\tmp59f3.tmp
- %TEMP%\tmp59d2.tmp
- %TEMP%\tmp5b00.tmp
- %TEMP%\tmp5b01.tmp
- %TEMP%\tmp5b02.tmp
- %TEMP%\tmp5b13.tmp
- %TEMP%\tmp5bc5.tmp
- %TEMP%\tmp5bb4.tmp
- %TEMP%\tmp5bb3.tmp
- %TEMP%\tmp5ba3.tmp
- %TEMP%\tmp5ba2.tmp
- %TEMP%\tmp5b91.tmp
- %TEMP%\tmp5b90.tmp
- %TEMP%\tmp5b8f.tmp
- %TEMP%\tmp5b7e.tmp
- %TEMP%\tmp5b7d.tmp
- %TEMP%\tmp5b6c.tmp
- %TEMP%\tmp5b6d.tmp
- %TEMP%\tmp5b5b.tmp
- %TEMP%\tmp5b4b.tmp
- %TEMP%\tmp5b4a.tmp
- %TEMP%\tmp5b49.tmp
- %TEMP%\tmp5b38.tmp
- %TEMP%\tmp5b37.tmp
- %TEMP%\tmp5b36.tmp
- %TEMP%\tmp5b25.tmp
- %TEMP%\tmp5b24.tmp
- %TEMP%\tmp5b23.tmp
- %TEMP%\tmp5bc6.tmp
- %TEMP%\tmp5d51.tmp
Удаляет следующие файлы
- %TEMP%\tmp59f3.tmp
- %TEMP%\tmp5c10.tmp
- %TEMP%\tmp5c22.tmp
- %TEMP%\tmp5c24.tmp
- %TEMP%\tmp5c35.tmp
- %TEMP%\tmp5c47.tmp
- %TEMP%\tmp5c49.tmp
- %TEMP%\tmp5c5b.tmp
- %TEMP%\tmp5c6c.tmp
- %TEMP%\tmp5c6e.tmp
- %TEMP%\tmp5bfd.tmp
- %TEMP%\tmp5bff.tmp
- %TEMP%\tmp5c70.tmp
- %TEMP%\tmp5c95.tmp
- %TEMP%\tmp5ca7.tmp
- %TEMP%\tmp5cb9.tmp
- %TEMP%\tmp5cbb.tmp
- %TEMP%\tmp5ccc.tmp
- %TEMP%\tmp5cde.tmp
- %TEMP%\tmp5ce0.tmp
- %TEMP%\tmp5cf0.tmp
- %TEMP%\tmp5d11.tmp
- %TEMP%\tmp5c82.tmp
- %TEMP%\tmp5c93.tmp
- %TEMP%\tmp5beb.tmp
- %TEMP%\tmp5be9.tmp
- %TEMP%\tmp5bd7.tmp
- %TEMP%\tmp5a73.tmp
- %TEMP%\tmp5a85.tmp
- %TEMP%\tmp5a97.tmp
- %TEMP%\tmp5aa8.tmp
- %TEMP%\tmp5aaa.tmp
- %TEMP%\tmp5acb.tmp
- %TEMP%\tmp5add.tmp
- %TEMP%\tmp5aef.tmp
- %TEMP%\tmp5b00.tmp
- %TEMP%\tmp5b02.tmp
- %TEMP%\tmp5a43.tmp
- %TEMP%\tmp5b23.tmp
- %TEMP%\tmp5b37.tmp
- %TEMP%\tmp5b49.tmp
- %TEMP%\tmp5b4b.tmp
- %TEMP%\tmp5b6c.tmp
- %TEMP%\tmp5b7d.tmp
- %TEMP%\tmp5b8f.tmp
- %TEMP%\tmp5b91.tmp
- %TEMP%\tmp5ba3.tmp
- %TEMP%\tmp5bb4.tmp
- %TEMP%\tmp5bc6.tmp
- %TEMP%\tmp5b25.tmp
- %TEMP%\tmp5d40.tmp
- %TEMP%\tmp5d51.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://81.##.179.115:35253/IRemotePanel via 81.##.179.115
UDP
- DNS ASK jh.##lanum.ru
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2280 && choice /C Y /N /D Y /T 3 & Del "%LOCALAPPDATA%\Google\Chrome\User Data\Default\chrome.exe"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
