Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\thebestof\bestof.exe
- %TEMP%\tmp2ec8.tmp
- %TEMP%\tmp2ec7.tmp
- %TEMP%\tmp2ea7.tmp
- %TEMP%\tmp2ea6.tmp
- %TEMP%\tmp2ea5.tmp
- %TEMP%\tmp2ea4.tmp
- %TEMP%\tmp2e93.tmp
- %TEMP%\tmp2e92.tmp
- %TEMP%\tmp2e91.tmp
- %TEMP%\tmp2e90.tmp
- %TEMP%\tmp2e44.tmp
- %TEMP%\tmp2e7f.tmp
- %TEMP%\tmp2e6e.tmp
- %TEMP%\tmp2e6d.tmp
- %TEMP%\tmp2e6c.tmp
- %TEMP%\tmp2e5b.tmp
- %TEMP%\tmp2e5a.tmp
- %TEMP%\tmp2e59.tmp
- %TEMP%\tmp2e58.tmp
- %TEMP%\tmp2e48.tmp
- %TEMP%\tmp2e47.tmp
- %TEMP%\tmp2e46.tmp
- %TEMP%\tmp2e7e.tmp
- %TEMP%\tmp2e45.tmp
- %TEMP%\tmp2ec9.tmp
- %TEMP%\tmp2f05.tmp
- %TEMP%\tmp2f7d.tmp
- %TEMP%\tmp2f6c.tmp
- %TEMP%\tmp2f4c.tmp
- %TEMP%\tmp2f3b.tmp
- %TEMP%\tmp2f3a.tmp
- %TEMP%\tmp2f39.tmp
- %TEMP%\tmp2f29.tmp
- %TEMP%\tmp2f28.tmp
- %TEMP%\tmp2f27.tmp
- %TEMP%\tmp2f16.tmp
- %TEMP%\tmp2ecb.tmp
- %TEMP%\tmp2eca.tmp
- %TEMP%\tmp2f04.tmp
- %TEMP%\tmp2f03.tmp
- %TEMP%\tmp2f02.tmp
- %TEMP%\tmp2ef1.tmp
- %TEMP%\tmp2ef0.tmp
- %TEMP%\tmp2eef.tmp
- %TEMP%\tmp2eee.tmp
- %TEMP%\tmp2edd.tmp
- %TEMP%\tmp2edc.tmp
- %TEMP%\tmp2edb.tmp
- %TEMP%\tmp2f15.tmp
- %TEMP%\tmp2e33.tmp
- %TEMP%\tmp2e32.tmp
- %TEMP%\tmp2e21.tmp
- %TEMP%\tmp2d49.tmp
- %TEMP%\tmp2d39.tmp
- %TEMP%\tmp2d28.tmp
- %TEMP%\tmp2d27.tmp
- %TEMP%\tmp2d26.tmp
- %TEMP%\tmp2d15.tmp
- %TEMP%\tmp2d14.tmp
- %TEMP%\tmp2d04.tmp
- %TEMP%\tmp2cf3.tmp
- %TEMP%\tmp2d5b.tmp
- %TEMP%\tmp2cf2.tmp
- %TEMP%\tmp2ce1.tmp
- %TEMP%\tmp2cd0.tmp
- %TEMP%\tmp2ccf.tmp
- %TEMP%\tmp2c9f.tmp
- %TEMP%\tmp2c9e.tmp
- %TEMP%\tmp2c8e.tmp
- %TEMP%\tmp2c1f.tmp
- %TEMP%\tmp2c0f.tmp
- %APPDATA%\thebestof\geo.txt
- %APPDATA%\thebestof\bestofd.exe
- %TEMP%\tmp2cf1.tmp
- %TEMP%\tmp2d5c.tmp
- %TEMP%\tmp2d4a.tmp
- %TEMP%\tmp2d6c.tmp
- %TEMP%\tmp2e20.tmp
- %TEMP%\tmp2dd7.tmp
- %TEMP%\tmp2e10.tmp
- %TEMP%\tmp2e0f.tmp
- %TEMP%\tmp2dfe.tmp
- %TEMP%\tmp2dfd.tmp
- %TEMP%\tmp2dfc.tmp
- %TEMP%\tmp2dec.tmp
- %TEMP%\tmp2deb.tmp
- %TEMP%\tmp2dda.tmp
- %TEMP%\tmp2dd9.tmp
- %TEMP%\tmp2dd8.tmp
- %TEMP%\tmp2dc6.tmp
- %TEMP%\tmp2d7d.tmp
- %TEMP%\tmp2dc5.tmp
- %TEMP%\tmp2dc4.tmp
- %TEMP%\tmp2db4.tmp
- %TEMP%\tmp2db3.tmp
- %TEMP%\tmp2db2.tmp
- %TEMP%\tmp2db1.tmp
- %TEMP%\tmp2da0.tmp
- %TEMP%\tmp2d90.tmp
- %TEMP%\tmp2d8f.tmp
- %TEMP%\tmp2d7e.tmp
- %TEMP%\tmp2f8d.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp2c1f.tmp
- %TEMP%\tmp2e6c.tmp
- %TEMP%\tmp2e6e.tmp
- %TEMP%\tmp2e7f.tmp
- %TEMP%\tmp2e91.tmp
- %TEMP%\tmp2e93.tmp
- %TEMP%\tmp2ea5.tmp
- %TEMP%\tmp2ea7.tmp
- %TEMP%\tmp2ec8.tmp
- %TEMP%\tmp2eca.tmp
- %TEMP%\tmp2e58.tmp
- %TEMP%\tmp2e5a.tmp
- %TEMP%\tmp2edb.tmp
- %TEMP%\tmp2ef1.tmp
- %TEMP%\tmp2f03.tmp
- %TEMP%\tmp2f05.tmp
- %TEMP%\tmp2f16.tmp
- %TEMP%\tmp2f28.tmp
- %TEMP%\tmp2f39.tmp
- %TEMP%\tmp2f3b.tmp
- %TEMP%\tmp2f4c.tmp
- %TEMP%\tmp2f6c.tmp
- %TEMP%\tmp2edd.tmp
- %TEMP%\tmp2eef.tmp
- %TEMP%\tmp2e47.tmp
- %TEMP%\tmp2e45.tmp
- %TEMP%\tmp2e33.tmp
- %TEMP%\tmp2ccf.tmp
- %TEMP%\tmp2ce1.tmp
- %TEMP%\tmp2cf2.tmp
- %TEMP%\tmp2d04.tmp
- %TEMP%\tmp2d15.tmp
- %TEMP%\tmp2d27.tmp
- %TEMP%\tmp2d39.tmp
- %TEMP%\tmp2d4a.tmp
- %TEMP%\tmp2d5c.tmp
- %TEMP%\tmp2d7d.tmp
- %TEMP%\tmp2c9e.tmp
- %TEMP%\tmp2d8f.tmp
- %TEMP%\tmp2db2.tmp
- %TEMP%\tmp2db4.tmp
- %TEMP%\tmp2dc5.tmp
- %TEMP%\tmp2dd7.tmp
- %TEMP%\tmp2dd9.tmp
- %TEMP%\tmp2deb.tmp
- %TEMP%\tmp2dfc.tmp
- %TEMP%\tmp2dfe.tmp
- %TEMP%\tmp2e10.tmp
- %TEMP%\tmp2e21.tmp
- %TEMP%\tmp2da0.tmp
- %TEMP%\tmp2f7d.tmp
- %TEMP%\tmp2f8d.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ju###top.top/bestof/bestof.exe
- http://ju###top.top/bestof/bestofd.exe
- http://ip##pi.com/line/
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://rr##mal.xyz/IRemotePanel
UDP
- DNS ASK ip###ger.org
- DNS ASK ju###top.top
- DNS ASK ip##pi.com
- DNS ASK rr##mal.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\thebestof\bestof.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
