Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp9424.tmp
- %TEMP%\tmp969d.tmp
- %TEMP%\tmp968d.tmp
- %TEMP%\tmp968c.tmp
- %TEMP%\tmp968b.tmp
- %TEMP%\tmp968a.tmp
- %TEMP%\tmp9689.tmp
- %TEMP%\tmp9688.tmp
- %TEMP%\tmp9677.tmp
- %TEMP%\tmp9676.tmp
- %TEMP%\tmp9675.tmp
- %TEMP%\tmp9664.tmp
- %TEMP%\tmp9663.tmp
- %TEMP%\tmp9662.tmp
- %TEMP%\tmp9652.tmp
- %TEMP%\tmp9651.tmp
- %TEMP%\tmp9640.tmp
- %TEMP%\tmp963f.tmp
- %TEMP%\tmp963e.tmp
- %TEMP%\tmp962e.tmp
- %TEMP%\tmp962d.tmp
- %TEMP%\tmp962c.tmp
- %TEMP%\tmp969e.tmp
- %TEMP%\tmp96af.tmp
- %TEMP%\tmp96b0.tmp
- %TEMP%\tmp96b1.tmp
- %TEMP%\tmp9763.tmp
- %TEMP%\tmp9743.tmp
- %TEMP%\tmp9722.tmp
- %TEMP%\tmp9712.tmp
- %TEMP%\tmp9711.tmp
- %TEMP%\tmp9710.tmp
- %TEMP%\tmp970f.tmp
- %TEMP%\tmp96fe.tmp
- %TEMP%\tmp96fd.tmp
- %TEMP%\tmp96ed.tmp
- %TEMP%\tmp96eb.tmp
- %TEMP%\tmp96ec.tmp
- %TEMP%\tmp96ea.tmp
- %TEMP%\tmp96d9.tmp
- %TEMP%\tmp96d8.tmp
- %TEMP%\tmp96d7.tmp
- %TEMP%\tmp96d6.tmp
- %TEMP%\tmp96c5.tmp
- %TEMP%\tmp96c4.tmp
- %TEMP%\tmp96c3.tmp
- %TEMP%\tmp96b3.tmp
- %TEMP%\tmp96b2.tmp
- %TEMP%\tmp9764.tmp
- %TEMP%\tmp962b.tmp
- %TEMP%\tmp962a.tmp
- %TEMP%\tmp9619.tmp
- %TEMP%\tmp9532.tmp
- %TEMP%\tmp9531.tmp
- %TEMP%\tmp9521.tmp
- %TEMP%\tmp9520.tmp
- %TEMP%\tmp950f.tmp
- %TEMP%\tmp94fe.tmp
- %TEMP%\tmp94fd.tmp
- %TEMP%\tmp94dd.tmp
- %TEMP%\tmp94cd.tmp
- %TEMP%\tmp94cc.tmp
- %TEMP%\tmp94bb.tmp
- %TEMP%\tmp94ba.tmp
- %TEMP%\tmp94b9.tmp
- %TEMP%\tmp94a8.tmp
- %TEMP%\tmp94a7.tmp
- %TEMP%\tmp94a6.tmp
- %TEMP%\tmp9496.tmp
- %TEMP%\tmp9495.tmp
- %TEMP%\tmp9494.tmp
- %TEMP%\tmp9483.tmp
- %TEMP%\tmp9434.tmp
- %TEMP%\tmp9533.tmp
- %TEMP%\tmp9544.tmp
- %TEMP%\tmp9554.tmp
- %TEMP%\tmp9565.tmp
- %TEMP%\tmp95e8.tmp
- %TEMP%\tmp95e7.tmp
- %TEMP%\tmp95d7.tmp
- %TEMP%\tmp95d6.tmp
- %TEMP%\tmp95c5.tmp
- %TEMP%\tmp95c4.tmp
- %TEMP%\tmp95c3.tmp
- %TEMP%\tmp95b2.tmp
- %TEMP%\tmp95b1.tmp
- %TEMP%\tmp95b0.tmp
- %TEMP%\tmp959f.tmp
- %TEMP%\tmp95a0.tmp
- %TEMP%\tmp959e.tmp
- %TEMP%\tmp958d.tmp
- %TEMP%\tmp958c.tmp
- %TEMP%\tmp958b.tmp
- %TEMP%\tmp957b.tmp
- %TEMP%\tmp957a.tmp
- %TEMP%\tmp9579.tmp
- %TEMP%\tmp9568.tmp
- %TEMP%\tmp9567.tmp
- %TEMP%\tmp9566.tmp
- %TEMP%\tmp9618.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp9434.tmp
- %TEMP%\tmp9652.tmp
- %TEMP%\tmp9663.tmp
- %TEMP%\tmp9675.tmp
- %TEMP%\tmp9677.tmp
- %TEMP%\tmp9689.tmp
- %TEMP%\tmp968b.tmp
- %TEMP%\tmp968d.tmp
- %TEMP%\tmp969e.tmp
- %TEMP%\tmp96b0.tmp
- %TEMP%\tmp963e.tmp
- %TEMP%\tmp9640.tmp
- %TEMP%\tmp96b2.tmp
- %TEMP%\tmp96d7.tmp
- %TEMP%\tmp96d9.tmp
- %TEMP%\tmp96eb.tmp
- %TEMP%\tmp96ed.tmp
- %TEMP%\tmp96fe.tmp
- %TEMP%\tmp9710.tmp
- %TEMP%\tmp9712.tmp
- %TEMP%\tmp9722.tmp
- %TEMP%\tmp9743.tmp
- %TEMP%\tmp96c3.tmp
- %TEMP%\tmp96c5.tmp
- %TEMP%\tmp962d.tmp
- %TEMP%\tmp962b.tmp
- %TEMP%\tmp9619.tmp
- %TEMP%\tmp9496.tmp
- %TEMP%\tmp94a7.tmp
- %TEMP%\tmp94b9.tmp
- %TEMP%\tmp94bb.tmp
- %TEMP%\tmp94cd.tmp
- %TEMP%\tmp94fd.tmp
- %TEMP%\tmp950f.tmp
- %TEMP%\tmp9521.tmp
- %TEMP%\tmp9532.tmp
- %TEMP%\tmp9544.tmp
- %TEMP%\tmp9494.tmp
- %TEMP%\tmp9565.tmp
- %TEMP%\tmp9579.tmp
- %TEMP%\tmp957b.tmp
- %TEMP%\tmp958c.tmp
- %TEMP%\tmp959e.tmp
- %TEMP%\tmp95a0.tmp
- %TEMP%\tmp95b1.tmp
- %TEMP%\tmp95c3.tmp
- %TEMP%\tmp95c5.tmp
- %TEMP%\tmp95d7.tmp
- %TEMP%\tmp95e8.tmp
- %TEMP%\tmp9567.tmp
- %TEMP%\tmp9763.tmp
- %TEMP%\tmp9764.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://18#.###.198.103:48271/IRemotePanel via 18#.#53.198.103
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
