Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 532
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp7020.tmp
- %TEMP%\tmp71c0.tmp
- %TEMP%\tmp71bf.tmp
- %TEMP%\tmp71af.tmp
- %TEMP%\tmp71ae.tmp
- %TEMP%\tmp71ad.tmp
- %TEMP%\tmp71ac.tmp
- %TEMP%\tmp71ab.tmp
- %TEMP%\tmp71aa.tmp
- %TEMP%\tmp7199.tmp
- %TEMP%\tmp7198.tmp
- %TEMP%\tmp7197.tmp
- %TEMP%\tmp7196.tmp
- %TEMP%\tmp7195.tmp
- %TEMP%\tmp7184.tmp
- %TEMP%\tmp7183.tmp
- %TEMP%\tmp7182.tmp
- %TEMP%\tmp7181.tmp
- %TEMP%\tmp7180.tmp
- %TEMP%\tmp7170.tmp
- %TEMP%\tmp716f.tmp
- %TEMP%\tmp716e.tmp
- %TEMP%\tmp716c.tmp
- %TEMP%\tmp716d.tmp
- %TEMP%\tmp71c1.tmp
- %TEMP%\tmp71d2.tmp
- %TEMP%\tmp7255.tmp
- %TEMP%\tmp7244.tmp
- %TEMP%\tmp7243.tmp
- %TEMP%\tmp7242.tmp
- %TEMP%\tmp7232.tmp
- %TEMP%\tmp7231.tmp
- %TEMP%\tmp7230.tmp
- %TEMP%\tmp721f.tmp
- %TEMP%\tmp721e.tmp
- %TEMP%\tmp721d.tmp
- %TEMP%\tmp720c.tmp
- %TEMP%\tmp711e.tmp
- %TEMP%\tmp720b.tmp
- %TEMP%\tmp71fa.tmp
- %TEMP%\tmp71f9.tmp
- %TEMP%\tmp71f8.tmp
- %TEMP%\tmp71e7.tmp
- %TEMP%\tmp71e6.tmp
- %TEMP%\tmp71e5.tmp
- %TEMP%\tmp71d5.tmp
- %TEMP%\tmp71d4.tmp
- %TEMP%\tmp71d3.tmp
- %TEMP%\tmp716b.tmp
- %TEMP%\tmp716a.tmp
- %TEMP%\tmp7159.tmp
- %TEMP%\tmp70d0.tmp
- %TEMP%\tmp70bf.tmp
- %TEMP%\tmp70be.tmp
- %TEMP%\tmp70bd.tmp
- %TEMP%\tmp70ad.tmp
- %TEMP%\tmp70ac.tmp
- %TEMP%\tmp70ab.tmp
- %TEMP%\tmp709a.tmp
- %TEMP%\tmp7099.tmp
- %TEMP%\tmp7089.tmp
- %TEMP%\tmp7088.tmp
- %TEMP%\tmp7087.tmp
- %TEMP%\tmp7076.tmp
- %TEMP%\tmp7075.tmp
- %TEMP%\tmp7074.tmp
- %TEMP%\tmp7063.tmp
- %TEMP%\tmp7062.tmp
- %TEMP%\tmp7061.tmp
- %TEMP%\tmp7060.tmp
- %TEMP%\tmp7031.tmp
- %TEMP%\tmp70d2.tmp
- %TEMP%\tmp70e3.tmp
- %TEMP%\tmp70d1.tmp
- %TEMP%\tmp70e4.tmp
- %TEMP%\tmp7158.tmp
- %TEMP%\tmp70e5.tmp
- %TEMP%\tmp7148.tmp
- %TEMP%\tmp7147.tmp
- %TEMP%\tmp7146.tmp
- %TEMP%\tmp7145.tmp
- %TEMP%\tmp7144.tmp
- %TEMP%\tmp7133.tmp
- %TEMP%\tmp7132.tmp
- %TEMP%\tmp7131.tmp
- %TEMP%\tmp7120.tmp
- %TEMP%\tmp720d.tmp
- %TEMP%\tmp7275.tmp
- %TEMP%\tmp711d.tmp
- %TEMP%\tmp711c.tmp
- %TEMP%\tmp710c.tmp
- %TEMP%\tmp710b.tmp
- %TEMP%\tmp710a.tmp
- %TEMP%\tmp70f9.tmp
- %TEMP%\tmp70f8.tmp
- %TEMP%\tmp70e8.tmp
- %TEMP%\tmp70e7.tmp
- %TEMP%\tmp70e6.tmp
- %TEMP%\tmp711f.tmp
- %TEMP%\tmp7276.tmp
Удаляет следующие файлы
- %TEMP%\tmp7031.tmp
- %TEMP%\tmp7183.tmp
- %TEMP%\tmp7195.tmp
- %TEMP%\tmp7197.tmp
- %TEMP%\tmp7199.tmp
- %TEMP%\tmp71ab.tmp
- %TEMP%\tmp71ad.tmp
- %TEMP%\tmp71af.tmp
- %TEMP%\tmp71c0.tmp
- %TEMP%\tmp71d2.tmp
- %TEMP%\tmp7170.tmp
- %TEMP%\tmp7181.tmp
- %TEMP%\tmp71d4.tmp
- %TEMP%\tmp71f9.tmp
- %TEMP%\tmp720b.tmp
- %TEMP%\tmp720d.tmp
- %TEMP%\tmp721e.tmp
- %TEMP%\tmp7230.tmp
- %TEMP%\tmp7232.tmp
- %TEMP%\tmp7243.tmp
- %TEMP%\tmp7244.tmp
- %TEMP%\tmp7255.tmp
- %TEMP%\tmp71e5.tmp
- %TEMP%\tmp71e7.tmp
- %TEMP%\tmp716e.tmp
- %TEMP%\tmp716c.tmp
- %TEMP%\tmp716a.tmp
- %TEMP%\tmp7063.tmp
- %TEMP%\tmp7075.tmp
- %TEMP%\tmp7087.tmp
- %TEMP%\tmp7089.tmp
- %TEMP%\tmp709a.tmp
- %TEMP%\tmp70ac.tmp
- %TEMP%\tmp70bd.tmp
- %TEMP%\tmp70bf.tmp
- %TEMP%\tmp70d1.tmp
- %TEMP%\tmp70e3.tmp
- %TEMP%\tmp7061.tmp
- %TEMP%\tmp70e5.tmp
- %TEMP%\tmp70f8.tmp
- %TEMP%\tmp710a.tmp
- %TEMP%\tmp710c.tmp
- %TEMP%\tmp711d.tmp
- %TEMP%\tmp711f.tmp
- %TEMP%\tmp7131.tmp
- %TEMP%\tmp7133.tmp
- %TEMP%\tmp7145.tmp
- %TEMP%\tmp7147.tmp
- %TEMP%\tmp7158.tmp
- %TEMP%\tmp70e7.tmp
- %TEMP%\tmp7275.tmp
- %TEMP%\tmp7276.tmp
Сетевая активность
Подключается к
- '21#.#.117.162':35253
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 532 && choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
