Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2896
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp9b0.tmp
- %TEMP%\tmpd05.tmp
- %TEMP%\tmpd04.tmp
- %TEMP%\tmpcf4.tmp
- %TEMP%\tmpcf3.tmp
- %TEMP%\tmpcf2.tmp
- %TEMP%\tmpce1.tmp
- %TEMP%\tmpcd0.tmp
- %TEMP%\tmpccf.tmp
- %TEMP%\tmpcce.tmp
- %TEMP%\tmpcbe.tmp
- %TEMP%\tmpcbd.tmp
- %TEMP%\tmpcbc.tmp
- %TEMP%\tmpcab.tmp
- %TEMP%\tmpcaa.tmp
- %TEMP%\tmpca9.tmp
- %TEMP%\tmpca8.tmp
- %TEMP%\tmpc98.tmp
- %TEMP%\tmpc97.tmp
- %TEMP%\tmpc86.tmp
- %TEMP%\tmpc85.tmp
- %TEMP%\tmpc74.tmp
- %TEMP%\tmpc72.tmp
- %TEMP%\tmpc73.tmp
- %TEMP%\tmpd06.tmp
- %TEMP%\tmpd07.tmp
- %TEMP%\tmpdaa.tmp
- %TEMP%\tmpd99.tmp
- %TEMP%\tmpd88.tmp
- %TEMP%\tmpd87.tmp
- %TEMP%\tmpd77.tmp
- %TEMP%\tmpd66.tmp
- %TEMP%\tmpd65.tmp
- %TEMP%\tmpd55.tmp
- %TEMP%\tmpd54.tmp
- %TEMP%\tmpd53.tmp
- %TEMP%\tmpd41.tmp
- %TEMP%\tmpbf6.tmp
- %TEMP%\tmpd40.tmp
- %TEMP%\tmpd3f.tmp
- %TEMP%\tmpd2e.tmp
- %TEMP%\tmpd2d.tmp
- %TEMP%\tmpd2c.tmp
- %TEMP%\tmpd2b.tmp
- %TEMP%\tmpd1b.tmp
- %TEMP%\tmpd1a.tmp
- %TEMP%\tmpd19.tmp
- %TEMP%\tmpd08.tmp
- %TEMP%\tmpc71.tmp
- %TEMP%\tmpc61.tmp
- %TEMP%\tmpc60.tmp
- %TEMP%\tmpb79.tmp
- %TEMP%\tmpb68.tmp
- %TEMP%\tmpb67.tmp
- %TEMP%\tmpb47.tmp
- %TEMP%\tmpb17.tmp
- %TEMP%\tmpb07.tmp
- %TEMP%\tmpaf6.tmp
- %TEMP%\tmpae6.tmp
- %TEMP%\tmpad5.tmp
- %TEMP%\tmpac4.tmp
- %TEMP%\tmpab4.tmp
- %TEMP%\tmpab3.tmp
- %TEMP%\tmpaa2.tmp
- %TEMP%\tmpa82.tmp
- %TEMP%\tmpa81.tmp
- %TEMP%\tmpa70.tmp
- %TEMP%\tmpa60.tmp
- %TEMP%\tmpa5f.tmp
- %TEMP%\tmpa4e.tmp
- %TEMP%\tmp9c1.tmp
- %TEMP%\tmpb8b.tmp
- %TEMP%\tmpb8c.tmp
- %TEMP%\tmpb7a.tmp
- %TEMP%\tmpb9c.tmp
- %TEMP%\tmpc4f.tmp
- %TEMP%\tmpb9d.tmp
- %TEMP%\tmpc4e.tmp
- %TEMP%\tmpc3e.tmp
- %TEMP%\tmpc3d.tmp
- %TEMP%\tmpc3c.tmp
- %TEMP%\tmpc2b.tmp
- %TEMP%\tmpc2a.tmp
- %TEMP%\tmpc19.tmp
- %TEMP%\tmpc18.tmp
- %TEMP%\tmpc08.tmp
- %TEMP%\tmpd42.tmp
- %TEMP%\tmpdd9.tmp
- %TEMP%\tmpbe6.tmp
- %TEMP%\tmpbe5.tmp
- %TEMP%\tmpbe4.tmp
- %TEMP%\tmpbd3.tmp
- %TEMP%\tmpbd2.tmp
- %TEMP%\tmpbd1.tmp
- %TEMP%\tmpbc0.tmp
- %TEMP%\tmpbbf.tmp
- %TEMP%\tmpbbe.tmp
- %TEMP%\tmpbae.tmp
- %TEMP%\tmpc07.tmp
- %TEMP%\tmpdea.tmp
Удаляет следующие файлы
- %TEMP%\tmp9c1.tmp
- %TEMP%\tmpca9.tmp
- %TEMP%\tmpcab.tmp
- %TEMP%\tmpcbd.tmp
- %TEMP%\tmpcce.tmp
- %TEMP%\tmpcd0.tmp
- %TEMP%\tmpcf2.tmp
- %TEMP%\tmpcf4.tmp
- %TEMP%\tmpd05.tmp
- %TEMP%\tmpd07.tmp
- %TEMP%\tmpc86.tmp
- %TEMP%\tmpc98.tmp
- %TEMP%\tmpd19.tmp
- %TEMP%\tmpd2e.tmp
- %TEMP%\tmpd40.tmp
- %TEMP%\tmpd42.tmp
- %TEMP%\tmpd54.tmp
- %TEMP%\tmpd65.tmp
- %TEMP%\tmpd77.tmp
- %TEMP%\tmpd88.tmp
- %TEMP%\tmpd99.tmp
- %TEMP%\tmpdaa.tmp
- %TEMP%\tmpd1b.tmp
- %TEMP%\tmpd2c.tmp
- %TEMP%\tmpc74.tmp
- %TEMP%\tmpc72.tmp
- %TEMP%\tmpc61.tmp
- %TEMP%\tmpa70.tmp
- %TEMP%\tmpa82.tmp
- %TEMP%\tmpab3.tmp
- %TEMP%\tmpac4.tmp
- %TEMP%\tmpae6.tmp
- %TEMP%\tmpb07.tmp
- %TEMP%\tmpb47.tmp
- %TEMP%\tmpb68.tmp
- %TEMP%\tmpb7a.tmp
- %TEMP%\tmpb8c.tmp
- %TEMP%\tmpa5f.tmp
- %TEMP%\tmpb9d.tmp
- %TEMP%\tmpbc0.tmp
- %TEMP%\tmpbd2.tmp
- %TEMP%\tmpbe4.tmp
- %TEMP%\tmpbe6.tmp
- %TEMP%\tmpc07.tmp
- %TEMP%\tmpc18.tmp
- %TEMP%\tmpc2a.tmp
- %TEMP%\tmpc3c.tmp
- %TEMP%\tmpc3e.tmp
- %TEMP%\tmpc4f.tmp
- %TEMP%\tmpbbe.tmp
- %TEMP%\tmpdd9.tmp
- %TEMP%\tmpdea.tmp
Сетевая активность
Подключается к
- 'mo###erry.pk':80
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
UDP
- DNS ASK mo###erry.pk
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2896 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
