Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp9da5.tmp
- %TEMP%\tmp9f93.tmp
- %TEMP%\tmp9f82.tmp
- %TEMP%\tmp9f81.tmp
- %TEMP%\tmp9f70.tmp
- %TEMP%\tmp9f6f.tmp
- %TEMP%\tmp9f6e.tmp
- %TEMP%\tmp9f6d.tmp
- %TEMP%\tmp9f5d.tmp
- %TEMP%\tmp9f5c.tmp
- %TEMP%\tmp9f5b.tmp
- %TEMP%\tmp9f5a.tmp
- %TEMP%\tmp9f49.tmp
- %TEMP%\tmp9f48.tmp
- %TEMP%\tmp9f47.tmp
- %TEMP%\tmp9f37.tmp
- %TEMP%\tmp9f36.tmp
- %TEMP%\tmp9f35.tmp
- %TEMP%\tmp9f34.tmp
- %TEMP%\tmp9f33.tmp
- %TEMP%\tmp9f22.tmp
- %TEMP%\tmp9f21.tmp
- %TEMP%\tmp9f94.tmp
- %TEMP%\tmp9f95.tmp
- %TEMP%\tmp9f96.tmp
- %TEMP%\tmp9f97.tmp
- %TEMP%\tmpa029.tmp
- %TEMP%\tmpa009.tmp
- %TEMP%\tmp9ff9.tmp
- %TEMP%\tmp9fe8.tmp
- %TEMP%\tmp9fe7.tmp
- %TEMP%\tmp9fe6.tmp
- %TEMP%\tmp9fd5.tmp
- %TEMP%\tmp9fd4.tmp
- %TEMP%\tmp9fd3.tmp
- %TEMP%\tmp9fd2.tmp
- %TEMP%\tmp9fd0.tmp
- %TEMP%\tmp9fd1.tmp
- %TEMP%\tmp9fc0.tmp
- %TEMP%\tmp9fbf.tmp
- %TEMP%\tmp9fae.tmp
- %TEMP%\tmp9fad.tmp
- %TEMP%\tmp9fac.tmp
- %TEMP%\tmp9fab.tmp
- %TEMP%\tmp9faa.tmp
- %TEMP%\tmp9fa9.tmp
- %TEMP%\tmp9fa8.tmp
- %TEMP%\tmp9f98.tmp
- %TEMP%\tmpa03a.tmp
- %TEMP%\tmp9f20.tmp
- %TEMP%\tmp9f1f.tmp
- %TEMP%\tmp9f1e.tmp
- %TEMP%\tmp9e85.tmp
- %TEMP%\tmp9e84.tmp
- %TEMP%\tmp9e74.tmp
- %TEMP%\tmp9e73.tmp
- %TEMP%\tmp9e72.tmp
- %TEMP%\tmp9e61.tmp
- %TEMP%\tmp9e60.tmp
- %TEMP%\tmp9e5f.tmp
- %TEMP%\tmp9e4e.tmp
- %TEMP%\tmp9e4d.tmp
- %TEMP%\tmp9e3d.tmp
- %TEMP%\tmp9e3c.tmp
- %TEMP%\tmp9e2b.tmp
- %TEMP%\tmp9e2a.tmp
- %TEMP%\tmp9e19.tmp
- %TEMP%\tmp9e18.tmp
- %TEMP%\tmp9e08.tmp
- %TEMP%\tmp9e07.tmp
- %TEMP%\tmp9e06.tmp
- %TEMP%\tmp9df5.tmp
- %TEMP%\tmp9da6.tmp
- %TEMP%\tmp9e86.tmp
- %TEMP%\tmp9e87.tmp
- %TEMP%\tmp9e98.tmp
- %TEMP%\tmp9e99.tmp
- %TEMP%\tmp9f0c.tmp
- %TEMP%\tmp9f0b.tmp
- %TEMP%\tmp9f0a.tmp
- %TEMP%\tmp9efa.tmp
- %TEMP%\tmp9ef9.tmp
- %TEMP%\tmp9ef8.tmp
- %TEMP%\tmp9ee7.tmp
- %TEMP%\tmp9ee6.tmp
- %TEMP%\tmp9ee5.tmp
- %TEMP%\tmp9ed5.tmp
- %TEMP%\tmp9ed3.tmp
- %TEMP%\tmp9ed4.tmp
- %TEMP%\tmp9ec2.tmp
- %TEMP%\tmp9ec1.tmp
- %TEMP%\tmp9ec0.tmp
- %TEMP%\tmp9ebf.tmp
- %TEMP%\tmp9eae.tmp
- %TEMP%\tmp9ead.tmp
- %TEMP%\tmp9eac.tmp
- %TEMP%\tmp9e9c.tmp
- %TEMP%\tmp9e9b.tmp
- %TEMP%\tmp9e9a.tmp
- %TEMP%\tmp9f1d.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp9da6.tmp
- %TEMP%\tmp9f47.tmp
- %TEMP%\tmp9f49.tmp
- %TEMP%\tmp9f5b.tmp
- %TEMP%\tmp9f5d.tmp
- %TEMP%\tmp9f6e.tmp
- %TEMP%\tmp9f70.tmp
- %TEMP%\tmp9f82.tmp
- %TEMP%\tmp9f94.tmp
- %TEMP%\tmp9f96.tmp
- %TEMP%\tmp9f34.tmp
- %TEMP%\tmp9f36.tmp
- %TEMP%\tmp9f98.tmp
- %TEMP%\tmp9fad.tmp
- %TEMP%\tmp9fbf.tmp
- %TEMP%\tmp9fd0.tmp
- %TEMP%\tmp9fd2.tmp
- %TEMP%\tmp9fd4.tmp
- %TEMP%\tmp9fe6.tmp
- %TEMP%\tmp9fe8.tmp
- %TEMP%\tmp9ff9.tmp
- %TEMP%\tmpa009.tmp
- %TEMP%\tmp9fa9.tmp
- %TEMP%\tmp9fab.tmp
- %TEMP%\tmp9f22.tmp
- %TEMP%\tmp9f20.tmp
- %TEMP%\tmp9f1e.tmp
- %TEMP%\tmp9e08.tmp
- %TEMP%\tmp9e19.tmp
- %TEMP%\tmp9e2b.tmp
- %TEMP%\tmp9e3d.tmp
- %TEMP%\tmp9e4e.tmp
- %TEMP%\tmp9e60.tmp
- %TEMP%\tmp9e72.tmp
- %TEMP%\tmp9e74.tmp
- %TEMP%\tmp9e85.tmp
- %TEMP%\tmp9e87.tmp
- %TEMP%\tmp9e06.tmp
- %TEMP%\tmp9e99.tmp
- %TEMP%\tmp9eac.tmp
- %TEMP%\tmp9eae.tmp
- %TEMP%\tmp9ec0.tmp
- %TEMP%\tmp9ec2.tmp
- %TEMP%\tmp9ed4.tmp
- %TEMP%\tmp9ee5.tmp
- %TEMP%\tmp9ee7.tmp
- %TEMP%\tmp9ef9.tmp
- %TEMP%\tmp9f0a.tmp
- %TEMP%\tmp9f0c.tmp
- %TEMP%\tmp9e9b.tmp
- %TEMP%\tmpa029.tmp
- %TEMP%\tmpa03a.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://18#.###.198.50:35200/IRemotePanel via 18#.#53.198.50
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
