Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp386e.tmp
- %TEMP%\tmp3a6a.tmp
- %TEMP%\tmp3a69.tmp
- %TEMP%\tmp3a68.tmp
- %TEMP%\tmp3a58.tmp
- %TEMP%\tmp3a57.tmp
- %TEMP%\tmp3a56.tmp
- %TEMP%\tmp3a55.tmp
- %TEMP%\tmp3a44.tmp
- %TEMP%\tmp3a43.tmp
- %TEMP%\tmp3a42.tmp
- %TEMP%\tmp3a32.tmp
- %TEMP%\tmp3a31.tmp
- %TEMP%\tmp3a30.tmp
- %TEMP%\tmp3a1f.tmp
- %TEMP%\tmp3a1e.tmp
- %TEMP%\tmp3a1d.tmp
- %TEMP%\tmp3a1c.tmp
- %TEMP%\tmp3a0b.tmp
- %TEMP%\tmp3a0a.tmp
- %TEMP%\tmp3a09.tmp
- %TEMP%\tmp3a08.tmp
- %TEMP%\tmp3a6b.tmp
- %TEMP%\tmp3a7c.tmp
- %TEMP%\tmp3a7d.tmp
- %TEMP%\tmp3a7e.tmp
- %TEMP%\tmp3b30.tmp
- %TEMP%\tmp3b10.tmp
- %TEMP%\tmp3ae0.tmp
- %TEMP%\tmp3acf.tmp
- %TEMP%\tmp3ace.tmp
- %TEMP%\tmp3acd.tmp
- %TEMP%\tmp3acc.tmp
- %TEMP%\tmp3abc.tmp
- %TEMP%\tmp3abb.tmp
- %TEMP%\tmp3aba.tmp
- %TEMP%\tmp3aa8.tmp
- %TEMP%\tmp3ab9.tmp
- %TEMP%\tmp3aa7.tmp
- %TEMP%\tmp3aa6.tmp
- %TEMP%\tmp3aa5.tmp
- %TEMP%\tmp3a95.tmp
- %TEMP%\tmp3a94.tmp
- %TEMP%\tmp3a93.tmp
- %TEMP%\tmp3a92.tmp
- %TEMP%\tmp3a91.tmp
- %TEMP%\tmp3a80.tmp
- %TEMP%\tmp3a7f.tmp
- %TEMP%\tmp3b41.tmp
- %TEMP%\tmp3a07.tmp
- %TEMP%\tmp39f7.tmp
- %TEMP%\tmp39f6.tmp
- %TEMP%\tmp394d.tmp
- %TEMP%\tmp393d.tmp
- %TEMP%\tmp392c.tmp
- %TEMP%\tmp391c.tmp
- %TEMP%\tmp391b.tmp
- %TEMP%\tmp391a.tmp
- %TEMP%\tmp3909.tmp
- %TEMP%\tmp3908.tmp
- %TEMP%\tmp38f7.tmp
- %TEMP%\tmp38f6.tmp
- %TEMP%\tmp38f5.tmp
- %TEMP%\tmp38e5.tmp
- %TEMP%\tmp38e4.tmp
- %TEMP%\tmp38e3.tmp
- %TEMP%\tmp38d2.tmp
- %TEMP%\tmp38d1.tmp
- %TEMP%\tmp38c1.tmp
- %TEMP%\tmp38c0.tmp
- %TEMP%\tmp38bf.tmp
- %TEMP%\tmp38ae.tmp
- %TEMP%\tmp386f.tmp
- %TEMP%\tmp394e.tmp
- %TEMP%\tmp395f.tmp
- %TEMP%\tmp3960.tmp
- %TEMP%\tmp3971.tmp
- %TEMP%\tmp39f4.tmp
- %TEMP%\tmp39e3.tmp
- %TEMP%\tmp39e2.tmp
- %TEMP%\tmp39e1.tmp
- %TEMP%\tmp39d1.tmp
- %TEMP%\tmp39d0.tmp
- %TEMP%\tmp39cf.tmp
- %TEMP%\tmp39be.tmp
- %TEMP%\tmp39bd.tmp
- %TEMP%\tmp39bc.tmp
- %TEMP%\tmp39aa.tmp
- %TEMP%\tmp39bb.tmp
- %TEMP%\tmp39a9.tmp
- %TEMP%\tmp3999.tmp
- %TEMP%\tmp3998.tmp
- %TEMP%\tmp3997.tmp
- %TEMP%\tmp3996.tmp
- %TEMP%\tmp3985.tmp
- %TEMP%\tmp3984.tmp
- %TEMP%\tmp3983.tmp
- %TEMP%\tmp3982.tmp
- %TEMP%\tmp3972.tmp
- %TEMP%\tmp39f5.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp386f.tmp
- %TEMP%\tmp3a1f.tmp
- %TEMP%\tmp3a31.tmp
- %TEMP%\tmp3a42.tmp
- %TEMP%\tmp3a44.tmp
- %TEMP%\tmp3a56.tmp
- %TEMP%\tmp3a58.tmp
- %TEMP%\tmp3a69.tmp
- %TEMP%\tmp3a6b.tmp
- %TEMP%\tmp3a7d.tmp
- %TEMP%\tmp3a0b.tmp
- %TEMP%\tmp3a1d.tmp
- %TEMP%\tmp3a7f.tmp
- %TEMP%\tmp3a95.tmp
- %TEMP%\tmp3aa6.tmp
- %TEMP%\tmp3aa8.tmp
- %TEMP%\tmp3aba.tmp
- %TEMP%\tmp3abc.tmp
- %TEMP%\tmp3acd.tmp
- %TEMP%\tmp3acf.tmp
- %TEMP%\tmp3ae0.tmp
- %TEMP%\tmp3b10.tmp
- %TEMP%\tmp3a91.tmp
- %TEMP%\tmp3a93.tmp
- %TEMP%\tmp3a09.tmp
- %TEMP%\tmp3a07.tmp
- %TEMP%\tmp39f6.tmp
- %TEMP%\tmp38c1.tmp
- %TEMP%\tmp38d2.tmp
- %TEMP%\tmp38e4.tmp
- %TEMP%\tmp38f5.tmp
- %TEMP%\tmp38f7.tmp
- %TEMP%\tmp3909.tmp
- %TEMP%\tmp391b.tmp
- %TEMP%\tmp392c.tmp
- %TEMP%\tmp394d.tmp
- %TEMP%\tmp395f.tmp
- %TEMP%\tmp38bf.tmp
- %TEMP%\tmp3971.tmp
- %TEMP%\tmp3984.tmp
- %TEMP%\tmp3996.tmp
- %TEMP%\tmp3998.tmp
- %TEMP%\tmp39a9.tmp
- %TEMP%\tmp39bb.tmp
- %TEMP%\tmp39bd.tmp
- %TEMP%\tmp39cf.tmp
- %TEMP%\tmp39d1.tmp
- %TEMP%\tmp39e2.tmp
- %TEMP%\tmp39f4.tmp
- %TEMP%\tmp3982.tmp
- %TEMP%\tmp3b30.tmp
- %TEMP%\tmp3b41.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://45.##.231.109:81/IRemotePanel via 45.##.231.109
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
