Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
Изменения в файловой системе
Создает следующие файлы
- C:\games\d3d9x\otcv3.exe
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\system_information.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\browsers\history\history_opera.txt
- %TEMP%\ls078bf1bf000406f19bfc02c3.tmp
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\processes.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\programs.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\browsers\domaindetect.txt
- %TEMP%\tempdatabase2020-09-26t17_50_22.1702000-07_002828
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\emailclients\outlook\outlook.txt
- %TEMP%\tempdatabase2020-09-26t17_50_21.9206000-07_002828
- %TEMP%\tempdatabase2020-09-26t17_50_21.5774000-07_002828
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\browsers\cookies\cookies_mozilla.txt
- %TEMP%\tempdatabase2020-09-26t17_50_21.0002000-07_002828
- %TEMP%\bd078bf1bf000406f19bfc02c3.tmp
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %TEMP%\consoleapp10.exe
- %TEMP%\build.exe
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\infohere.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\dotnetzip-jlgj4skw.tmp
Удаляет следующие файлы
- %TEMP%\bd078bf1bf000406f19bfc02c3.tmp
- %TEMP%\ls078bf1bf000406f19bfc02c3.tmp
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\browsers\cookies\cookies_mozilla.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\browsers\domaindetect.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\browsers\history\history_opera.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\emailclients\outlook\outlook.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\infohere.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\processes.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\programs.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\30078bf1bf000406f19bfc02c3xdvyw\system_information.txt
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\user_pxupkorymq[nl].zip
Перемещает следующие файлы
- %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\dotnetzip-jlgj4skw.tmp в %APPDATA%\xdvyw078bf1bf000406f19bfc02c330\user_pxupkorymq[nl].zip
Подменяет следующие файлы
- %TEMP%\bd078bf1bf000406f19bfc02c3.tmp
- %TEMP%\ls078bf1bf000406f19bfc02c3.tmp
Сетевая активность
Подключается к
- 'gf########.userstorage.mega.co.nz':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://ip##pi.com/xml
Запросы HTTP POST
- http://gf########.userstorage.mega.co.nz/ul/bVZZzMss3qId9wLSO0KjVMEv-AQiFa6ssm77tQqDrWkEzs1waKoW3esczlsWw5wDcg3uayfNMeOBbdsm3apYkA/0
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK microsoft.com
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
- DNS ASK g.###.mega.co.nz
- DNS ASK gf########.userstorage.mega.co.nz
Другое
Создает и запускает на исполнение
- 'C:\games\d3d9x\otcv3.exe'
- '%TEMP%\build.exe'
- '%TEMP%\consoleapp10.exe'
