Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmpbe77.tmp
- %TEMP%\tmpbe76.tmp
- %TEMP%\tmpbe75.tmp
- %TEMP%\tmpbe64.tmp
- %TEMP%\tmpbe63.tmp
- %TEMP%\tmpbe62.tmp
- %TEMP%\tmpbe61.tmp
- %TEMP%\tmpbe60.tmp
- %TEMP%\tmpbe50.tmp
- %TEMP%\tmpbe4f.tmp
- %TEMP%\tmpbe4e.tmp
- %TEMP%\tmpbe4d.tmp
- %TEMP%\tmpbe4c.tmp
- %TEMP%\tmpbe4b.tmp
- %TEMP%\tmpbe3a.tmp
- %TEMP%\tmpbe39.tmp
- %TEMP%\tmpbe38.tmp
- %TEMP%\tmpbe37.tmp
- %TEMP%\tmpbe36.tmp
- %TEMP%\tmpbe35.tmp
- %TEMP%\tmpbe24.tmp
- %TEMP%\tmpbe78.tmp
- %TEMP%\tmpbe79.tmp
- %TEMP%\tmpbe7a.tmp
- %TEMP%\tmpbe8a.tmp
- %TEMP%\tmpbedf.tmp
- %TEMP%\tmpbede.tmp
- %TEMP%\tmpbecd.tmp
- %TEMP%\tmpbecc.tmp
- %TEMP%\tmpbecb.tmp
- %TEMP%\tmpbebb.tmp
- %TEMP%\tmpbeba.tmp
- %TEMP%\tmpbeb9.tmp
- %TEMP%\tmpbeb8.tmp
- %TEMP%\tmpbeb7.tmp
- %TEMP%\tmpbea5.tmp
- %TEMP%\tmpbea6.tmp
- %TEMP%\tmpbea4.tmp
- %TEMP%\tmpbea3.tmp
- %TEMP%\tmpbea2.tmp
- %TEMP%\tmpbea1.tmp
- %TEMP%\tmpbea0.tmp
- %TEMP%\tmpbe8f.tmp
- %TEMP%\tmpbe8e.tmp
- %TEMP%\tmpbe8d.tmp
- %TEMP%\tmpbe8c.tmp
- %TEMP%\tmpbe8b.tmp
- %TEMP%\tmpbeff.tmp
- %TEMP%\tmpbe23.tmp
- %TEMP%\tmpbe22.tmp
- %TEMP%\tmpbe21.tmp
- %TEMP%\tmpbd89.tmp
- %TEMP%\tmpbd88.tmp
- %TEMP%\tmpbd87.tmp
- %TEMP%\tmpbd76.tmp
- %TEMP%\tmpbd75.tmp
- %TEMP%\tmpbd64.tmp
- %TEMP%\tmpbd63.tmp
- %TEMP%\tmpbd62.tmp
- %TEMP%\tmpbd52.tmp
- %TEMP%\tmpbd51.tmp
- %TEMP%\tmpbd50.tmp
- %TEMP%\tmpbd3f.tmp
- %TEMP%\tmpbd3e.tmp
- %TEMP%\tmpbd3d.tmp
- %TEMP%\tmpbd2d.tmp
- %TEMP%\tmpbd2c.tmp
- %TEMP%\tmpbd1b.tmp
- %TEMP%\tmpbd1a.tmp
- %TEMP%\tmpbd19.tmp
- %TEMP%\tmpbce9.tmp
- %TEMP%\tmpbce8.tmp
- %TEMP%\tmpbd99.tmp
- %TEMP%\tmpbd9a.tmp
- %TEMP%\tmpbd9b.tmp
- %TEMP%\tmpbd9c.tmp
- %TEMP%\tmpbe10.tmp
- %TEMP%\tmpbe0f.tmp
- %TEMP%\tmpbe0e.tmp
- %TEMP%\tmpbdfd.tmp
- %TEMP%\tmpbdfc.tmp
- %TEMP%\tmpbdfb.tmp
- %TEMP%\tmpbdfa.tmp
- %TEMP%\tmpbdea.tmp
- %TEMP%\tmpbde9.tmp
- %TEMP%\tmpbde8.tmp
- %TEMP%\tmpbdd6.tmp
- %TEMP%\tmpbde7.tmp
- %TEMP%\tmpbdd5.tmp
- %TEMP%\tmpbdd4.tmp
- %TEMP%\tmpbdd3.tmp
- %TEMP%\tmpbdc2.tmp
- %TEMP%\tmpbdc1.tmp
- %TEMP%\tmpbdc0.tmp
- %TEMP%\tmpbdbf.tmp
- %TEMP%\tmpbdaf.tmp
- %TEMP%\tmpbdae.tmp
- %TEMP%\tmpbdad.tmp
- %TEMP%\tmpbe11.tmp
- %TEMP%\tmpbf00.tmp
Удаляет следующие файлы
- %TEMP%\tmpbce9.tmp
- %TEMP%\tmpbe4c.tmp
- %TEMP%\tmpbe4e.tmp
- %TEMP%\tmpbe50.tmp
- %TEMP%\tmpbe61.tmp
- %TEMP%\tmpbe63.tmp
- %TEMP%\tmpbe75.tmp
- %TEMP%\tmpbe77.tmp
- %TEMP%\tmpbe79.tmp
- %TEMP%\tmpbe8a.tmp
- %TEMP%\tmpbe38.tmp
- %TEMP%\tmpbe3a.tmp
- %TEMP%\tmpbe8c.tmp
- %TEMP%\tmpbea2.tmp
- %TEMP%\tmpbea4.tmp
- %TEMP%\tmpbea6.tmp
- %TEMP%\tmpbeb8.tmp
- %TEMP%\tmpbeba.tmp
- %TEMP%\tmpbecb.tmp
- %TEMP%\tmpbecd.tmp
- %TEMP%\tmpbede.tmp
- %TEMP%\tmpbedf.tmp
- %TEMP%\tmpbe8e.tmp
- %TEMP%\tmpbea0.tmp
- %TEMP%\tmpbe36.tmp
- %TEMP%\tmpbe24.tmp
- %TEMP%\tmpbe22.tmp
- %TEMP%\tmpbd2c.tmp
- %TEMP%\tmpbd3d.tmp
- %TEMP%\tmpbd3f.tmp
- %TEMP%\tmpbd51.tmp
- %TEMP%\tmpbd62.tmp
- %TEMP%\tmpbd64.tmp
- %TEMP%\tmpbd76.tmp
- %TEMP%\tmpbd88.tmp
- %TEMP%\tmpbd99.tmp
- %TEMP%\tmpbd9b.tmp
- %TEMP%\tmpbd1a.tmp
- %TEMP%\tmpbdad.tmp
- %TEMP%\tmpbdc0.tmp
- %TEMP%\tmpbdc2.tmp
- %TEMP%\tmpbdd4.tmp
- %TEMP%\tmpbdd6.tmp
- %TEMP%\tmpbde8.tmp
- %TEMP%\tmpbdea.tmp
- %TEMP%\tmpbdfb.tmp
- %TEMP%\tmpbdfd.tmp
- %TEMP%\tmpbe0f.tmp
- %TEMP%\tmpbe11.tmp
- %TEMP%\tmpbdaf.tmp
- %TEMP%\tmpbeff.tmp
- %TEMP%\tmpbf00.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://re####skitchen.info/IRemotePanel
UDP
- DNS ASK xj##.#gywcolors.ru
- DNS ASK re####skitchen.info
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
