Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 1824
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp93cf.tmp
- %TEMP%\tmp93ce.tmp
- %TEMP%\tmp93cd.tmp
- %TEMP%\tmp93cc.tmp
- %TEMP%\tmp93bb.tmp
- %TEMP%\tmp93ba.tmp
- %TEMP%\tmp93b9.tmp
- %TEMP%\tmp93a8.tmp
- %TEMP%\tmp93a7.tmp
- %TEMP%\tmp93a6.tmp
- %TEMP%\tmp9396.tmp
- %TEMP%\tmp9395.tmp
- %TEMP%\tmp9394.tmp
- %TEMP%\tmp9393.tmp
- %TEMP%\tmp9392.tmp
- %TEMP%\tmp9381.tmp
- %TEMP%\tmp9380.tmp
- %TEMP%\tmp937f.tmp
- %TEMP%\tmp937e.tmp
- %TEMP%\tmp936e.tmp
- %TEMP%\tmp936d.tmp
- %TEMP%\tmp93d0.tmp
- %TEMP%\tmp93e0.tmp
- %TEMP%\tmp93e1.tmp
- %TEMP%\tmp93e2.tmp
- %TEMP%\tmp95cc.tmp
- %TEMP%\tmp95ac.tmp
- %TEMP%\tmp959b.tmp
- %TEMP%\tmp959a.tmp
- %TEMP%\tmp958a.tmp
- %TEMP%\tmp9579.tmp
- %TEMP%\tmp9578.tmp
- %TEMP%\tmp9577.tmp
- %TEMP%\tmp944e.tmp
- %TEMP%\tmp944d.tmp
- %TEMP%\tmp943b.tmp
- %TEMP%\tmp944c.tmp
- %TEMP%\tmp943a.tmp
- %TEMP%\tmp9439.tmp
- %TEMP%\tmp9438.tmp
- %TEMP%\tmp9428.tmp
- %TEMP%\tmp93f8.tmp
- %TEMP%\tmp93f7.tmp
- %TEMP%\tmp93f6.tmp
- %TEMP%\tmp93f5.tmp
- %TEMP%\tmp93e4.tmp
- %TEMP%\tmp93e3.tmp
- %TEMP%\tmp95ec.tmp
- %TEMP%\tmp936c.tmp
- %TEMP%\tmp936b.tmp
- %TEMP%\tmp935a.tmp
- %TEMP%\tmp92a2.tmp
- %TEMP%\tmp92a1.tmp
- %TEMP%\tmp92a0.tmp
- %TEMP%\tmp928f.tmp
- %TEMP%\tmp927f.tmp
- %TEMP%\tmp927e.tmp
- %TEMP%\tmp926d.tmp
- %TEMP%\tmp926c.tmp
- %TEMP%\tmp925c.tmp
- %TEMP%\tmp924b.tmp
- %TEMP%\tmp920c.tmp
- %TEMP%\tmp920b.tmp
- %TEMP%\tmp920a.tmp
- %TEMP%\tmp91f9.tmp
- %TEMP%\tmp91f8.tmp
- %TEMP%\tmp91f7.tmp
- %TEMP%\tmp91e6.tmp
- %TEMP%\tmp91e5.tmp
- %TEMP%\tmp91e4.tmp
- %TEMP%\tmp91a5.tmp
- %TEMP%\tmp91a4.tmp
- %TEMP%\tmp92a3.tmp
- %TEMP%\tmp92b4.tmp
- %TEMP%\tmp92b5.tmp
- %TEMP%\tmp92b6.tmp
- %TEMP%\tmp9358.tmp
- %TEMP%\tmp9347.tmp
- %TEMP%\tmp9346.tmp
- %TEMP%\tmp9336.tmp
- %TEMP%\tmp9335.tmp
- %TEMP%\tmp9324.tmp
- %TEMP%\tmp9323.tmp
- %TEMP%\tmp9322.tmp
- %TEMP%\tmp9312.tmp
- %TEMP%\tmp9311.tmp
- %TEMP%\tmp92ff.tmp
- %TEMP%\tmp9300.tmp
- %TEMP%\tmp92fe.tmp
- %TEMP%\tmp92ed.tmp
- %TEMP%\tmp92ec.tmp
- %TEMP%\tmp92dc.tmp
- %TEMP%\tmp92db.tmp
- %TEMP%\tmp92da.tmp
- %TEMP%\tmp92c9.tmp
- %TEMP%\tmp92c8.tmp
- %TEMP%\tmp92c7.tmp
- %TEMP%\tmp92c6.tmp
- %TEMP%\tmp9359.tmp
- %TEMP%\tmp95fd.tmp
Удаляет следующие файлы
- %TEMP%\tmp91a5.tmp
- %TEMP%\tmp9394.tmp
- %TEMP%\tmp9396.tmp
- %TEMP%\tmp93a7.tmp
- %TEMP%\tmp93b9.tmp
- %TEMP%\tmp93bb.tmp
- %TEMP%\tmp93cd.tmp
- %TEMP%\tmp93cf.tmp
- %TEMP%\tmp93e0.tmp
- %TEMP%\tmp93e2.tmp
- %TEMP%\tmp9380.tmp
- %TEMP%\tmp9392.tmp
- %TEMP%\tmp93e4.tmp
- %TEMP%\tmp9438.tmp
- %TEMP%\tmp943a.tmp
- %TEMP%\tmp944c.tmp
- %TEMP%\tmp944e.tmp
- %TEMP%\tmp9578.tmp
- %TEMP%\tmp958a.tmp
- %TEMP%\tmp959b.tmp
- %TEMP%\tmp95ac.tmp
- %TEMP%\tmp95cc.tmp
- %TEMP%\tmp93f6.tmp
- %TEMP%\tmp93f8.tmp
- %TEMP%\tmp937e.tmp
- %TEMP%\tmp936d.tmp
- %TEMP%\tmp936b.tmp
- %TEMP%\tmp91f7.tmp
- %TEMP%\tmp91f9.tmp
- %TEMP%\tmp920b.tmp
- %TEMP%\tmp924b.tmp
- %TEMP%\tmp926c.tmp
- %TEMP%\tmp927e.tmp
- %TEMP%\tmp928f.tmp
- %TEMP%\tmp92a1.tmp
- %TEMP%\tmp92a3.tmp
- %TEMP%\tmp92b5.tmp
- %TEMP%\tmp91e5.tmp
- %TEMP%\tmp92c6.tmp
- %TEMP%\tmp92da.tmp
- %TEMP%\tmp92dc.tmp
- %TEMP%\tmp92ed.tmp
- %TEMP%\tmp92ff.tmp
- %TEMP%\tmp9311.tmp
- %TEMP%\tmp9322.tmp
- %TEMP%\tmp9324.tmp
- %TEMP%\tmp9336.tmp
- %TEMP%\tmp9347.tmp
- %TEMP%\tmp9359.tmp
- %TEMP%\tmp92c8.tmp
- %TEMP%\tmp95ec.tmp
- %TEMP%\tmp95fd.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://ch##il.xyz/IRemotePanel
UDP
- DNS ASK ch##il.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 1824 && choice /C Y /N /D Y /T 3 & Del "%LOCALAPPDATA%\Google\Chrome\User Data\Default\chrome.exe"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
