Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpd3b3.tmp
- %TEMP%\tmpd582.tmp
- %TEMP%\tmpd581.tmp
- %TEMP%\tmpd570.tmp
- %TEMP%\tmpd56f.tmp
- %TEMP%\tmpd56e.tmp
- %TEMP%\tmpd56d.tmp
- %TEMP%\tmpd56c.tmp
- %TEMP%\tmpd56b.tmp
- %TEMP%\tmpd55a.tmp
- %TEMP%\tmpd559.tmp
- %TEMP%\tmpd558.tmp
- %TEMP%\tmpd557.tmp
- %TEMP%\tmpd556.tmp
- %TEMP%\tmpd555.tmp
- %TEMP%\tmpd545.tmp
- %TEMP%\tmpd544.tmp
- %TEMP%\tmpd543.tmp
- %TEMP%\tmpd542.tmp
- %TEMP%\tmpd541.tmp
- %TEMP%\tmpd530.tmp
- %TEMP%\tmpd520.tmp
- %TEMP%\tmpd51e.tmp
- %TEMP%\tmpd51f.tmp
- %TEMP%\tmpd583.tmp
- %TEMP%\tmpd584.tmp
- %TEMP%\tmpd5f7.tmp
- %TEMP%\tmpd5e7.tmp
- %TEMP%\tmpd5d6.tmp
- %TEMP%\tmpd5d5.tmp
- %TEMP%\tmpd5d4.tmp
- %TEMP%\tmpd5d3.tmp
- %TEMP%\tmpd5c2.tmp
- %TEMP%\tmpd5c1.tmp
- %TEMP%\tmpd5c0.tmp
- %TEMP%\tmpd5bf.tmp
- %TEMP%\tmpd5ae.tmp
- %TEMP%\tmpd4d0.tmp
- %TEMP%\tmpd5ad.tmp
- %TEMP%\tmpd5ac.tmp
- %TEMP%\tmpd5ab.tmp
- %TEMP%\tmpd5aa.tmp
- %TEMP%\tmpd599.tmp
- %TEMP%\tmpd598.tmp
- %TEMP%\tmpd597.tmp
- %TEMP%\tmpd596.tmp
- %TEMP%\tmpd586.tmp
- %TEMP%\tmpd585.tmp
- %TEMP%\tmpd51d.tmp
- %TEMP%\tmpd51c.tmp
- %TEMP%\tmpd51b.tmp
- %TEMP%\tmpd472.tmp
- %TEMP%\tmpd462.tmp
- %TEMP%\tmpd461.tmp
- %TEMP%\tmpd450.tmp
- %TEMP%\tmpd44f.tmp
- %TEMP%\tmpd43e.tmp
- %TEMP%\tmpd43d.tmp
- %TEMP%\tmpd43c.tmp
- %TEMP%\tmpd42c.tmp
- %TEMP%\tmpd42b.tmp
- %TEMP%\tmpd42a.tmp
- %TEMP%\tmpd419.tmp
- %TEMP%\tmpd418.tmp
- %TEMP%\tmpd417.tmp
- %TEMP%\tmpd416.tmp
- %TEMP%\tmpd406.tmp
- %TEMP%\tmpd3f5.tmp
- %TEMP%\tmpd3f4.tmp
- %TEMP%\tmpd3f3.tmp
- %TEMP%\tmpd3c3.tmp
- %TEMP%\tmpd474.tmp
- %TEMP%\tmpd485.tmp
- %TEMP%\tmpd473.tmp
- %TEMP%\tmpd486.tmp
- %TEMP%\tmpd50a.tmp
- %TEMP%\tmpd496.tmp
- %TEMP%\tmpd509.tmp
- %TEMP%\tmpd508.tmp
- %TEMP%\tmpd4f7.tmp
- %TEMP%\tmpd4f6.tmp
- %TEMP%\tmpd4f5.tmp
- %TEMP%\tmpd4e5.tmp
- %TEMP%\tmpd4e4.tmp
- %TEMP%\tmpd4e3.tmp
- %TEMP%\tmpd4e2.tmp
- %TEMP%\tmpd5be.tmp
- %TEMP%\tmpd608.tmp
- %TEMP%\tmpd4cf.tmp
- %TEMP%\tmpd4ce.tmp
- %TEMP%\tmpd4be.tmp
- %TEMP%\tmpd4bd.tmp
- %TEMP%\tmpd4bc.tmp
- %TEMP%\tmpd4ab.tmp
- %TEMP%\tmpd4aa.tmp
- %TEMP%\tmpd4a9.tmp
- %TEMP%\tmpd498.tmp
- %TEMP%\tmpd497.tmp
- %TEMP%\tmpd4e1.tmp
- %TEMP%\tmpd618.tmp
Удаляет следующие файлы
- %TEMP%\tmpd3c3.tmp
- %TEMP%\tmpd545.tmp
- %TEMP%\tmpd556.tmp
- %TEMP%\tmpd558.tmp
- %TEMP%\tmpd55a.tmp
- %TEMP%\tmpd56c.tmp
- %TEMP%\tmpd56e.tmp
- %TEMP%\tmpd570.tmp
- %TEMP%\tmpd582.tmp
- %TEMP%\tmpd584.tmp
- %TEMP%\tmpd541.tmp
- %TEMP%\tmpd543.tmp
- %TEMP%\tmpd586.tmp
- %TEMP%\tmpd5ab.tmp
- %TEMP%\tmpd5ad.tmp
- %TEMP%\tmpd5be.tmp
- %TEMP%\tmpd5c0.tmp
- %TEMP%\tmpd5c2.tmp
- %TEMP%\tmpd5d4.tmp
- %TEMP%\tmpd5d6.tmp
- %TEMP%\tmpd5e7.tmp
- %TEMP%\tmpd5f7.tmp
- %TEMP%\tmpd597.tmp
- %TEMP%\tmpd599.tmp
- %TEMP%\tmpd520.tmp
- %TEMP%\tmpd51e.tmp
- %TEMP%\tmpd51c.tmp
- %TEMP%\tmpd406.tmp
- %TEMP%\tmpd417.tmp
- %TEMP%\tmpd419.tmp
- %TEMP%\tmpd42b.tmp
- %TEMP%\tmpd43c.tmp
- %TEMP%\tmpd43e.tmp
- %TEMP%\tmpd450.tmp
- %TEMP%\tmpd462.tmp
- %TEMP%\tmpd473.tmp
- %TEMP%\tmpd485.tmp
- %TEMP%\tmpd3f4.tmp
- %TEMP%\tmpd496.tmp
- %TEMP%\tmpd4aa.tmp
- %TEMP%\tmpd4bc.tmp
- %TEMP%\tmpd4be.tmp
- %TEMP%\tmpd4cf.tmp
- %TEMP%\tmpd4e1.tmp
- %TEMP%\tmpd4e3.tmp
- %TEMP%\tmpd4e5.tmp
- %TEMP%\tmpd4f6.tmp
- %TEMP%\tmpd508.tmp
- %TEMP%\tmpd50a.tmp
- %TEMP%\tmpd498.tmp
- %TEMP%\tmpd608.tmp
- %TEMP%\tmpd618.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://45.##.0.212:35253/IRemotePanel via 45.#4.0.212
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
