Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpb441.tmp
- %TEMP%\tmpb5e0.tmp
- %TEMP%\tmpb5df.tmp
- %TEMP%\tmpb5de.tmp
- %TEMP%\tmpb5dd.tmp
- %TEMP%\tmpb5dc.tmp
- %TEMP%\tmpb5cc.tmp
- %TEMP%\tmpb5cb.tmp
- %TEMP%\tmpb5ca.tmp
- %TEMP%\tmpb5c9.tmp
- %TEMP%\tmpb5c8.tmp
- %TEMP%\tmpb5c7.tmp
- %TEMP%\tmpb5b6.tmp
- %TEMP%\tmpb5b5.tmp
- %TEMP%\tmpb5b4.tmp
- %TEMP%\tmpb5b3.tmp
- %TEMP%\tmpb5b2.tmp
- %TEMP%\tmpb5b1.tmp
- %TEMP%\tmpb5a0.tmp
- %TEMP%\tmpb59f.tmp
- %TEMP%\tmpb59e.tmp
- %TEMP%\tmpb59d.tmp
- %TEMP%\tmpb5e1.tmp
- %TEMP%\tmpb5f2.tmp
- %TEMP%\tmpb5f3.tmp
- %TEMP%\tmpb5f4.tmp
- %TEMP%\tmpb667.tmp
- %TEMP%\tmpb657.tmp
- %TEMP%\tmpb646.tmp
- %TEMP%\tmpb636.tmp
- %TEMP%\tmpb635.tmp
- %TEMP%\tmpb634.tmp
- %TEMP%\tmpb633.tmp
- %TEMP%\tmpb632.tmp
- %TEMP%\tmpb631.tmp
- %TEMP%\tmpb620.tmp
- %TEMP%\tmpb61e.tmp
- %TEMP%\tmpb61f.tmp
- %TEMP%\tmpb61d.tmp
- %TEMP%\tmpb60c.tmp
- %TEMP%\tmpb60b.tmp
- %TEMP%\tmpb60a.tmp
- %TEMP%\tmpb609.tmp
- %TEMP%\tmpb608.tmp
- %TEMP%\tmpb607.tmp
- %TEMP%\tmpb606.tmp
- %TEMP%\tmpb605.tmp
- %TEMP%\tmpb5f5.tmp
- %TEMP%\tmpb668.tmp
- %TEMP%\tmpb59c.tmp
- %TEMP%\tmpb59b.tmp
- %TEMP%\tmpb58b.tmp
- %TEMP%\tmpb502.tmp
- %TEMP%\tmpb501.tmp
- %TEMP%\tmpb500.tmp
- %TEMP%\tmpb4ef.tmp
- %TEMP%\tmpb4ee.tmp
- %TEMP%\tmpb4ed.tmp
- %TEMP%\tmpb4dc.tmp
- %TEMP%\tmpb4db.tmp
- %TEMP%\tmpb4cb.tmp
- %TEMP%\tmpb4ca.tmp
- %TEMP%\tmpb4c9.tmp
- %TEMP%\tmpb4b8.tmp
- %TEMP%\tmpb4b7.tmp
- %TEMP%\tmpb4b6.tmp
- %TEMP%\tmpb4a6.tmp
- %TEMP%\tmpb4a5.tmp
- %TEMP%\tmpb4a4.tmp
- %TEMP%\tmpb493.tmp
- %TEMP%\tmpb492.tmp
- %TEMP%\tmpb491.tmp
- %TEMP%\tmpb452.tmp
- %TEMP%\tmpb512.tmp
- %TEMP%\tmpb513.tmp
- %TEMP%\tmpb524.tmp
- %TEMP%\tmpb525.tmp
- %TEMP%\tmpb589.tmp
- %TEMP%\tmpb578.tmp
- %TEMP%\tmpb577.tmp
- %TEMP%\tmpb576.tmp
- %TEMP%\tmpb575.tmp
- %TEMP%\tmpb565.tmp
- %TEMP%\tmpb564.tmp
- %TEMP%\tmpb563.tmp
- %TEMP%\tmpb562.tmp
- %TEMP%\tmpb561.tmp
- %TEMP%\tmpb54f.tmp
- %TEMP%\tmpb550.tmp
- %TEMP%\tmpb54e.tmp
- %TEMP%\tmpb54d.tmp
- %TEMP%\tmpb53c.tmp
- %TEMP%\tmpb53b.tmp
- %TEMP%\tmpb53a.tmp
- %TEMP%\tmpb539.tmp
- %TEMP%\tmpb538.tmp
- %TEMP%\tmpb537.tmp
- %TEMP%\tmpb527.tmp
- %TEMP%\tmpb526.tmp
- %TEMP%\tmpb58a.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpb452.tmp
- %TEMP%\tmpb5b4.tmp
- %TEMP%\tmpb5b6.tmp
- %TEMP%\tmpb5c8.tmp
- %TEMP%\tmpb5ca.tmp
- %TEMP%\tmpb5cc.tmp
- %TEMP%\tmpb5dd.tmp
- %TEMP%\tmpb5df.tmp
- %TEMP%\tmpb5e1.tmp
- %TEMP%\tmpb5f3.tmp
- %TEMP%\tmpb5a0.tmp
- %TEMP%\tmpb5b2.tmp
- %TEMP%\tmpb5f5.tmp
- %TEMP%\tmpb60a.tmp
- %TEMP%\tmpb60c.tmp
- %TEMP%\tmpb61e.tmp
- %TEMP%\tmpb620.tmp
- %TEMP%\tmpb632.tmp
- %TEMP%\tmpb634.tmp
- %TEMP%\tmpb636.tmp
- %TEMP%\tmpb646.tmp
- %TEMP%\tmpb657.tmp
- %TEMP%\tmpb606.tmp
- %TEMP%\tmpb608.tmp
- %TEMP%\tmpb59e.tmp
- %TEMP%\tmpb59c.tmp
- %TEMP%\tmpb58b.tmp
- %TEMP%\tmpb4a4.tmp
- %TEMP%\tmpb4a6.tmp
- %TEMP%\tmpb4b7.tmp
- %TEMP%\tmpb4c9.tmp
- %TEMP%\tmpb4cb.tmp
- %TEMP%\tmpb4dc.tmp
- %TEMP%\tmpb4ee.tmp
- %TEMP%\tmpb500.tmp
- %TEMP%\tmpb502.tmp
- %TEMP%\tmpb513.tmp
- %TEMP%\tmpb492.tmp
- %TEMP%\tmpb525.tmp
- %TEMP%\tmpb538.tmp
- %TEMP%\tmpb53a.tmp
- %TEMP%\tmpb53c.tmp
- %TEMP%\tmpb54e.tmp
- %TEMP%\tmpb550.tmp
- %TEMP%\tmpb562.tmp
- %TEMP%\tmpb564.tmp
- %TEMP%\tmpb575.tmp
- %TEMP%\tmpb577.tmp
- %TEMP%\tmpb589.tmp
- %TEMP%\tmpb527.tmp
- %TEMP%\tmpb667.tmp
- %TEMP%\tmpb668.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://45.##.231.50:35200/IRemotePanel via 45.##.231.50
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
