Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp311e.tmp
- %TEMP%\tmp33b7.tmp
- %TEMP%\tmp33b6.tmp
- %TEMP%\tmp33a6.tmp
- %TEMP%\tmp33a5.tmp
- %TEMP%\tmp33a4.tmp
- %TEMP%\tmp3393.tmp
- %TEMP%\tmp3392.tmp
- %TEMP%\tmp3391.tmp
- %TEMP%\tmp3381.tmp
- %TEMP%\tmp3380.tmp
- %TEMP%\tmp336f.tmp
- %TEMP%\tmp336e.tmp
- %TEMP%\tmp335d.tmp
- %TEMP%\tmp335c.tmp
- %TEMP%\tmp335b.tmp
- %TEMP%\tmp334b.tmp
- %TEMP%\tmp334a.tmp
- %TEMP%\tmp3349.tmp
- %TEMP%\tmp3338.tmp
- %TEMP%\tmp3337.tmp
- %TEMP%\tmp3327.tmp
- %TEMP%\tmp3325.tmp
- %TEMP%\tmp3326.tmp
- %TEMP%\tmp33b8.tmp
- %TEMP%\tmp33b9.tmp
- %TEMP%\tmp346b.tmp
- %TEMP%\tmp344b.tmp
- %TEMP%\tmp343b.tmp
- %TEMP%\tmp343a.tmp
- %TEMP%\tmp3439.tmp
- %TEMP%\tmp3428.tmp
- %TEMP%\tmp3427.tmp
- %TEMP%\tmp3416.tmp
- %TEMP%\tmp3415.tmp
- %TEMP%\tmp3414.tmp
- %TEMP%\tmp3403.tmp
- %TEMP%\tmp32a8.tmp
- %TEMP%\tmp3402.tmp
- %TEMP%\tmp3401.tmp
- %TEMP%\tmp33f0.tmp
- %TEMP%\tmp33ef.tmp
- %TEMP%\tmp33df.tmp
- %TEMP%\tmp33de.tmp
- %TEMP%\tmp33dd.tmp
- %TEMP%\tmp33dc.tmp
- %TEMP%\tmp33cb.tmp
- %TEMP%\tmp33ca.tmp
- %TEMP%\tmp3324.tmp
- %TEMP%\tmp3313.tmp
- %TEMP%\tmp3312.tmp
- %TEMP%\tmp323b.tmp
- %TEMP%\tmp322a.tmp
- %TEMP%\tmp3229.tmp
- %TEMP%\tmp3219.tmp
- %TEMP%\tmp3218.tmp
- %TEMP%\tmp3207.tmp
- %TEMP%\tmp31f6.tmp
- %TEMP%\tmp31f5.tmp
- %TEMP%\tmp31e5.tmp
- %TEMP%\tmp31d4.tmp
- %TEMP%\tmp31c4.tmp
- %TEMP%\tmp31c3.tmp
- %TEMP%\tmp31c2.tmp
- %TEMP%\tmp31b1.tmp
- %TEMP%\tmp31b0.tmp
- %TEMP%\tmp319f.tmp
- %TEMP%\tmp319e.tmp
- %TEMP%\tmp318e.tmp
- %TEMP%\tmp318d.tmp
- %TEMP%\tmp312e.tmp
- %TEMP%\tmp323d.tmp
- %TEMP%\tmp324d.tmp
- %TEMP%\tmp323c.tmp
- %TEMP%\tmp324e.tmp
- %TEMP%\tmp3301.tmp
- %TEMP%\tmp325f.tmp
- %TEMP%\tmp3300.tmp
- %TEMP%\tmp32f0.tmp
- %TEMP%\tmp32ef.tmp
- %TEMP%\tmp32ee.tmp
- %TEMP%\tmp32dd.tmp
- %TEMP%\tmp32dc.tmp
- %TEMP%\tmp32cc.tmp
- %TEMP%\tmp32cb.tmp
- %TEMP%\tmp32ba.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp349b.tmp
- %TEMP%\tmp32a7.tmp
- %TEMP%\tmp32a6.tmp
- %TEMP%\tmp3296.tmp
- %TEMP%\tmp3295.tmp
- %TEMP%\tmp3294.tmp
- %TEMP%\tmp3283.tmp
- %TEMP%\tmp3273.tmp
- %TEMP%\tmp3272.tmp
- %TEMP%\tmp3261.tmp
- %TEMP%\tmp3260.tmp
- %TEMP%\tmp32b9.tmp
- %TEMP%\tmp34ac.tmp
Удаляет следующие файлы
- %TEMP%\tmp312e.tmp
- %TEMP%\tmp335b.tmp
- %TEMP%\tmp335d.tmp
- %TEMP%\tmp336f.tmp
- %TEMP%\tmp3381.tmp
- %TEMP%\tmp3392.tmp
- %TEMP%\tmp33a4.tmp
- %TEMP%\tmp33a6.tmp
- %TEMP%\tmp33b7.tmp
- %TEMP%\tmp33b9.tmp
- %TEMP%\tmp3338.tmp
- %TEMP%\tmp334a.tmp
- %TEMP%\tmp33cb.tmp
- %TEMP%\tmp33f0.tmp
- %TEMP%\tmp3402.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp3415.tmp
- %TEMP%\tmp3427.tmp
- %TEMP%\tmp3439.tmp
- %TEMP%\tmp343b.tmp
- %TEMP%\tmp344b.tmp
- %TEMP%\tmp346b.tmp
- %TEMP%\tmp33dd.tmp
- %TEMP%\tmp33df.tmp
- %TEMP%\tmp3327.tmp
- %TEMP%\tmp3325.tmp
- %TEMP%\tmp3313.tmp
- %TEMP%\tmp319f.tmp
- %TEMP%\tmp31b1.tmp
- %TEMP%\tmp31c3.tmp
- %TEMP%\tmp31d4.tmp
- %TEMP%\tmp31f5.tmp
- %TEMP%\tmp3207.tmp
- %TEMP%\tmp3219.tmp
- %TEMP%\tmp322a.tmp
- %TEMP%\tmp323c.tmp
- %TEMP%\tmp324d.tmp
- %TEMP%\tmp318e.tmp
- %TEMP%\tmp325f.tmp
- %TEMP%\tmp3273.tmp
- %TEMP%\tmp3294.tmp
- %TEMP%\tmp3296.tmp
- %TEMP%\tmp32a7.tmp
- %TEMP%\tmp32b9.tmp
- %TEMP%\tmp32cb.tmp
- %TEMP%\tmp32dc.tmp
- %TEMP%\tmp32ee.tmp
- %TEMP%\tmp32f0.tmp
- %TEMP%\tmp3301.tmp
- %TEMP%\tmp3261.tmp
- %TEMP%\tmp349b.tmp
- %TEMP%\tmp34ac.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://nc###sha.xyz/IRemotePanel
UDP
- DNS ASK nc###sha.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
