Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2344
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp7ec0.tmp
- %TEMP%\tmp80cd.tmp
- %TEMP%\tmp80cc.tmp
- %TEMP%\tmp80cb.tmp
- %TEMP%\tmp80ca.tmp
- %TEMP%\tmp80ba.tmp
- %TEMP%\tmp80b9.tmp
- %TEMP%\tmp80b8.tmp
- %TEMP%\tmp80b7.tmp
- %TEMP%\tmp80b6.tmp
- %TEMP%\tmp80a5.tmp
- %TEMP%\tmp80a4.tmp
- %TEMP%\tmp80a3.tmp
- %TEMP%\tmp8093.tmp
- %TEMP%\tmp8092.tmp
- %TEMP%\tmp8091.tmp
- %TEMP%\tmp8090.tmp
- %TEMP%\tmp807f.tmp
- %TEMP%\tmp807e.tmp
- %TEMP%\tmp807d.tmp
- %TEMP%\tmp807c.tmp
- %TEMP%\tmp806b.tmp
- %TEMP%\tmp8069.tmp
- %TEMP%\tmp806a.tmp
- %TEMP%\tmp80ce.tmp
- %TEMP%\tmp80cf.tmp
- %TEMP%\tmp8162.tmp
- %TEMP%\tmp8142.tmp
- %TEMP%\tmp8131.tmp
- %TEMP%\tmp8130.tmp
- %TEMP%\tmp812f.tmp
- %TEMP%\tmp812e.tmp
- %TEMP%\tmp811e.tmp
- %TEMP%\tmp811d.tmp
- %TEMP%\tmp811c.tmp
- %TEMP%\tmp810b.tmp
- %TEMP%\tmp8109.tmp
- %TEMP%\tmp7ffd.tmp
- %TEMP%\tmp8108.tmp
- %TEMP%\tmp8107.tmp
- %TEMP%\tmp8106.tmp
- %TEMP%\tmp80f6.tmp
- %TEMP%\tmp80f5.tmp
- %TEMP%\tmp80e4.tmp
- %TEMP%\tmp80e3.tmp
- %TEMP%\tmp80e2.tmp
- %TEMP%\tmp80e1.tmp
- %TEMP%\tmp80d0.tmp
- %TEMP%\tmp8068.tmp
- %TEMP%\tmp8067.tmp
- %TEMP%\tmp8057.tmp
- %TEMP%\tmp7f8f.tmp
- %TEMP%\tmp7f8e.tmp
- %TEMP%\tmp7f8d.tmp
- %TEMP%\tmp7f7d.tmp
- %TEMP%\tmp7f6c.tmp
- %TEMP%\tmp7f6b.tmp
- %TEMP%\tmp7f6a.tmp
- %TEMP%\tmp7f59.tmp
- %TEMP%\tmp7f58.tmp
- %TEMP%\tmp7f48.tmp
- %TEMP%\tmp7f47.tmp
- %TEMP%\tmp7f36.tmp
- %TEMP%\tmp7f35.tmp
- %TEMP%\tmp7f25.tmp
- %TEMP%\tmp7f24.tmp
- %TEMP%\tmp7f13.tmp
- %TEMP%\tmp7f12.tmp
- %TEMP%\tmp7f11.tmp
- %TEMP%\tmp7f10.tmp
- %TEMP%\tmp7ec1.tmp
- %TEMP%\tmp7fa1.tmp
- %TEMP%\tmp7fa2.tmp
- %TEMP%\tmp7fa0.tmp
- %TEMP%\tmp7fb2.tmp
- %TEMP%\tmp8056.tmp
- %TEMP%\tmp7fb3.tmp
- %TEMP%\tmp8055.tmp
- %TEMP%\tmp8044.tmp
- %TEMP%\tmp8043.tmp
- %TEMP%\tmp8042.tmp
- %TEMP%\tmp8032.tmp
- %TEMP%\tmp8031.tmp
- %TEMP%\tmp8030.tmp
- %TEMP%\tmp801f.tmp
- %TEMP%\tmp800e.tmp
- %TEMP%\tmp810a.tmp
- %TEMP%\tmp8182.tmp
- %TEMP%\tmp7ffc.tmp
- %TEMP%\tmp7ffb.tmp
- %TEMP%\tmp7ffa.tmp
- %TEMP%\tmp7ff9.tmp
- %TEMP%\tmp7fe8.tmp
- %TEMP%\tmp7fc8.tmp
- %TEMP%\tmp7fc7.tmp
- %TEMP%\tmp7fc6.tmp
- %TEMP%\tmp7fb5.tmp
- %TEMP%\tmp7fb4.tmp
- %TEMP%\tmp800d.tmp
- %TEMP%\tmp8183.tmp
Удаляет следующие файлы
- %TEMP%\tmp7ec1.tmp
- %TEMP%\tmp8091.tmp
- %TEMP%\tmp8093.tmp
- %TEMP%\tmp80a4.tmp
- %TEMP%\tmp80b6.tmp
- %TEMP%\tmp80b8.tmp
- %TEMP%\tmp80ba.tmp
- %TEMP%\tmp80cb.tmp
- %TEMP%\tmp80cd.tmp
- %TEMP%\tmp80cf.tmp
- %TEMP%\tmp807d.tmp
- %TEMP%\tmp807f.tmp
- %TEMP%\tmp80e1.tmp
- %TEMP%\tmp8106.tmp
- %TEMP%\tmp8108.tmp
- %TEMP%\tmp810a.tmp
- %TEMP%\tmp811c.tmp
- %TEMP%\tmp811e.tmp
- %TEMP%\tmp812f.tmp
- %TEMP%\tmp8131.tmp
- %TEMP%\tmp8142.tmp
- %TEMP%\tmp8162.tmp
- %TEMP%\tmp80e3.tmp
- %TEMP%\tmp80f5.tmp
- %TEMP%\tmp806b.tmp
- %TEMP%\tmp8069.tmp
- %TEMP%\tmp8067.tmp
- %TEMP%\tmp7f13.tmp
- %TEMP%\tmp7f25.tmp
- %TEMP%\tmp7f36.tmp
- %TEMP%\tmp7f48.tmp
- %TEMP%\tmp7f59.tmp
- %TEMP%\tmp7f6b.tmp
- %TEMP%\tmp7f7d.tmp
- %TEMP%\tmp7f8e.tmp
- %TEMP%\tmp7fa0.tmp
- %TEMP%\tmp7fa2.tmp
- %TEMP%\tmp7f11.tmp
- %TEMP%\tmp7fb3.tmp
- %TEMP%\tmp7fc7.tmp
- %TEMP%\tmp7fe8.tmp
- %TEMP%\tmp7ffa.tmp
- %TEMP%\tmp7ffc.tmp
- %TEMP%\tmp800d.tmp
- %TEMP%\tmp801f.tmp
- %TEMP%\tmp8031.tmp
- %TEMP%\tmp8042.tmp
- %TEMP%\tmp8044.tmp
- %TEMP%\tmp8056.tmp
- %TEMP%\tmp7fb5.tmp
- %TEMP%\tmp8182.tmp
- %TEMP%\tmp8183.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Запросы HTTP POST
- http://5.##.#8.187:35253/IRemotePanel via 5.##.48.187
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
- DNS ASK pi###ytools.com
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2344 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
