Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpc419.tmp
- %TEMP%\tmpc5c8.tmp
- %TEMP%\tmpc5c7.tmp
- %TEMP%\tmpc5c6.tmp
- %TEMP%\tmpc5c5.tmp
- %TEMP%\tmpc5c4.tmp
- %TEMP%\tmpc5b3.tmp
- %TEMP%\tmpc5b2.tmp
- %TEMP%\tmpc5b1.tmp
- %TEMP%\tmpc5b0.tmp
- %TEMP%\tmpc5af.tmp
- %TEMP%\tmpc5ae.tmp
- %TEMP%\tmpc59e.tmp
- %TEMP%\tmpc59d.tmp
- %TEMP%\tmpc59c.tmp
- %TEMP%\tmpc59b.tmp
- %TEMP%\tmpc58a.tmp
- %TEMP%\tmpc589.tmp
- %TEMP%\tmpc588.tmp
- %TEMP%\tmpc587.tmp
- %TEMP%\tmpc576.tmp
- %TEMP%\tmpc575.tmp
- %TEMP%\tmpc5c9.tmp
- %TEMP%\tmpc5ca.tmp
- %TEMP%\tmpc5da.tmp
- %TEMP%\tmpc5db.tmp
- %TEMP%\tmpc63f.tmp
- %TEMP%\tmpc62f.tmp
- %TEMP%\tmpc61e.tmp
- %TEMP%\tmpc61d.tmp
- %TEMP%\tmpc61c.tmp
- %TEMP%\tmpc61b.tmp
- %TEMP%\tmpc60b.tmp
- %TEMP%\tmpc60a.tmp
- %TEMP%\tmpc609.tmp
- %TEMP%\tmpc608.tmp
- %TEMP%\tmpc606.tmp
- %TEMP%\tmpc607.tmp
- %TEMP%\tmpc5f5.tmp
- %TEMP%\tmpc5f4.tmp
- %TEMP%\tmpc5f3.tmp
- %TEMP%\tmpc5f2.tmp
- %TEMP%\tmpc5f1.tmp
- %TEMP%\tmpc5e0.tmp
- %TEMP%\tmpc5df.tmp
- %TEMP%\tmpc5de.tmp
- %TEMP%\tmpc5dd.tmp
- %TEMP%\tmpc5dc.tmp
- %TEMP%\tmpc650.tmp
- %TEMP%\tmpc574.tmp
- %TEMP%\tmpc573.tmp
- %TEMP%\tmpc572.tmp
- %TEMP%\tmpc4ca.tmp
- %TEMP%\tmpc4c9.tmp
- %TEMP%\tmpc4c8.tmp
- %TEMP%\tmpc4b7.tmp
- %TEMP%\tmpc4b6.tmp
- %TEMP%\tmpc4b5.tmp
- %TEMP%\tmpc4a5.tmp
- %TEMP%\tmpc4a4.tmp
- %TEMP%\tmpc4a3.tmp
- %TEMP%\tmpc492.tmp
- %TEMP%\tmpc491.tmp
- %TEMP%\tmpc481.tmp
- %TEMP%\tmpc480.tmp
- %TEMP%\tmpc47f.tmp
- %TEMP%\tmpc46e.tmp
- %TEMP%\tmpc46d.tmp
- %TEMP%\tmpc45c.tmp
- %TEMP%\tmpc45b.tmp
- %TEMP%\tmpc45a.tmp
- %TEMP%\tmpc459.tmp
- %TEMP%\tmpc42a.tmp
- %TEMP%\tmpc4cb.tmp
- %TEMP%\tmpc4cc.tmp
- %TEMP%\tmpc4dd.tmp
- %TEMP%\tmpc4de.tmp
- %TEMP%\tmpc561.tmp
- %TEMP%\tmpc560.tmp
- %TEMP%\tmpc55f.tmp
- %TEMP%\tmpc55e.tmp
- %TEMP%\tmpc54d.tmp
- %TEMP%\tmpc54c.tmp
- %TEMP%\tmpc54b.tmp
- %TEMP%\tmpc54a.tmp
- %TEMP%\tmpc53a.tmp
- %TEMP%\tmpc539.tmp
- %TEMP%\tmpc537.tmp
- %TEMP%\tmpc538.tmp
- %TEMP%\tmpc536.tmp
- %TEMP%\tmpc525.tmp
- %TEMP%\tmpc524.tmp
- %TEMP%\tmpc513.tmp
- %TEMP%\tmpc512.tmp
- %TEMP%\tmpc511.tmp
- %TEMP%\tmpc501.tmp
- %TEMP%\tmpc500.tmp
- %TEMP%\tmpc4ff.tmp
- %TEMP%\tmpc4df.tmp
- %TEMP%\tmpc571.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpc42a.tmp
- %TEMP%\tmpc59c.tmp
- %TEMP%\tmpc59e.tmp
- %TEMP%\tmpc5af.tmp
- %TEMP%\tmpc5b1.tmp
- %TEMP%\tmpc5b3.tmp
- %TEMP%\tmpc5c5.tmp
- %TEMP%\tmpc5c7.tmp
- %TEMP%\tmpc5c9.tmp
- %TEMP%\tmpc5da.tmp
- %TEMP%\tmpc588.tmp
- %TEMP%\tmpc58a.tmp
- %TEMP%\tmpc5dc.tmp
- %TEMP%\tmpc5f2.tmp
- %TEMP%\tmpc5f4.tmp
- %TEMP%\tmpc606.tmp
- %TEMP%\tmpc608.tmp
- %TEMP%\tmpc60a.tmp
- %TEMP%\tmpc61b.tmp
- %TEMP%\tmpc61d.tmp
- %TEMP%\tmpc61e.tmp
- %TEMP%\tmpc62f.tmp
- %TEMP%\tmpc5de.tmp
- %TEMP%\tmpc5e0.tmp
- %TEMP%\tmpc576.tmp
- %TEMP%\tmpc574.tmp
- %TEMP%\tmpc572.tmp
- %TEMP%\tmpc45c.tmp
- %TEMP%\tmpc46e.tmp
- %TEMP%\tmpc480.tmp
- %TEMP%\tmpc491.tmp
- %TEMP%\tmpc4a3.tmp
- %TEMP%\tmpc4a5.tmp
- %TEMP%\tmpc4b6.tmp
- %TEMP%\tmpc4c8.tmp
- %TEMP%\tmpc4ca.tmp
- %TEMP%\tmpc4cc.tmp
- %TEMP%\tmpc45a.tmp
- %TEMP%\tmpc4de.tmp
- %TEMP%\tmpc501.tmp
- %TEMP%\tmpc512.tmp
- %TEMP%\tmpc524.tmp
- %TEMP%\tmpc536.tmp
- %TEMP%\tmpc538.tmp
- %TEMP%\tmpc53a.tmp
- %TEMP%\tmpc54b.tmp
- %TEMP%\tmpc54d.tmp
- %TEMP%\tmpc55f.tmp
- %TEMP%\tmpc561.tmp
- %TEMP%\tmpc4ff.tmp
- %TEMP%\tmpc63f.tmp
- %TEMP%\tmpc650.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://45.###.231.200:35253/IRemotePanel via 45.##3.231.200
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
