Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp7edf.tmp
- %TEMP%\tmp811b.tmp
- %TEMP%\tmp811a.tmp
- %TEMP%\tmp810a.tmp
- %TEMP%\tmp8109.tmp
- %TEMP%\tmp8108.tmp
- %TEMP%\tmp8107.tmp
- %TEMP%\tmp8106.tmp
- %TEMP%\tmp80f5.tmp
- %TEMP%\tmp80f4.tmp
- %TEMP%\tmp80e4.tmp
- %TEMP%\tmp80e3.tmp
- %TEMP%\tmp80e2.tmp
- %TEMP%\tmp80e1.tmp
- %TEMP%\tmp80e0.tmp
- %TEMP%\tmp80cf.tmp
- %TEMP%\tmp80ce.tmp
- %TEMP%\tmp80cd.tmp
- %TEMP%\tmp80cc.tmp
- %TEMP%\tmp80bb.tmp
- %TEMP%\tmp80ba.tmp
- %TEMP%\tmp80aa.tmp
- %TEMP%\tmp80a8.tmp
- %TEMP%\tmp80a9.tmp
- %TEMP%\tmp811c.tmp
- %TEMP%\tmp812d.tmp
- %TEMP%\tmp81fe.tmp
- %TEMP%\tmp81ee.tmp
- %TEMP%\tmp81dd.tmp
- %TEMP%\tmp81dc.tmp
- %TEMP%\tmp81cb.tmp
- %TEMP%\tmp81ca.tmp
- %TEMP%\tmp81c9.tmp
- %TEMP%\tmp81c8.tmp
- %TEMP%\tmp8189.tmp
- %TEMP%\tmp8188.tmp
- %TEMP%\tmp8176.tmp
- %TEMP%\tmp804b.tmp
- %TEMP%\tmp8166.tmp
- %TEMP%\tmp8165.tmp
- %TEMP%\tmp8154.tmp
- %TEMP%\tmp8153.tmp
- %TEMP%\tmp8152.tmp
- %TEMP%\tmp8142.tmp
- %TEMP%\tmp8141.tmp
- %TEMP%\tmp8130.tmp
- %TEMP%\tmp812f.tmp
- %TEMP%\tmp812e.tmp
- %TEMP%\tmp80a7.tmp
- %TEMP%\tmp8096.tmp
- %TEMP%\tmp8095.tmp
- %TEMP%\tmp7fed.tmp
- %TEMP%\tmp7fec.tmp
- %TEMP%\tmp7feb.tmp
- %TEMP%\tmp7fda.tmp
- %TEMP%\tmp7fd9.tmp
- %TEMP%\tmp7fc9.tmp
- %TEMP%\tmp7fc8.tmp
- %TEMP%\tmp7fb7.tmp
- %TEMP%\tmp7fa6.tmp
- %TEMP%\tmp7f96.tmp
- %TEMP%\tmp7f95.tmp
- %TEMP%\tmp7f84.tmp
- %TEMP%\tmp7f83.tmp
- %TEMP%\tmp7f73.tmp
- %TEMP%\tmp7f62.tmp
- %TEMP%\tmp7f61.tmp
- %TEMP%\tmp7f50.tmp
- %TEMP%\tmp7f4f.tmp
- %TEMP%\tmp7f3f.tmp
- %TEMP%\tmp7ef0.tmp
- %TEMP%\tmp7ffe.tmp
- %TEMP%\tmp7fff.tmp
- %TEMP%\tmp7fee.tmp
- %TEMP%\tmp8000.tmp
- %TEMP%\tmp8085.tmp
- %TEMP%\tmp8011.tmp
- %TEMP%\tmp8084.tmp
- %TEMP%\tmp8083.tmp
- %TEMP%\tmp8082.tmp
- %TEMP%\tmp8071.tmp
- %TEMP%\tmp8070.tmp
- %TEMP%\tmp806f.tmp
- %TEMP%\tmp805e.tmp
- %TEMP%\tmp805d.tmp
- %TEMP%\tmp804d.tmp
- %TEMP%\tmp8187.tmp
- %TEMP%\tmp820f.tmp
- %TEMP%\tmp803a.tmp
- %TEMP%\tmp8039.tmp
- %TEMP%\tmp8038.tmp
- %TEMP%\tmp8028.tmp
- %TEMP%\tmp8027.tmp
- %TEMP%\tmp8026.tmp
- %TEMP%\tmp8025.tmp
- %TEMP%\tmp8014.tmp
- %TEMP%\tmp8013.tmp
- %TEMP%\tmp8012.tmp
- %TEMP%\tmp804c.tmp
- %TEMP%\tmp821f.tmp
Удаляет следующие файлы
- %TEMP%\tmp7ef0.tmp
- %TEMP%\tmp80cf.tmp
- %TEMP%\tmp80e1.tmp
- %TEMP%\tmp80e3.tmp
- %TEMP%\tmp80f4.tmp
- %TEMP%\tmp8106.tmp
- %TEMP%\tmp8108.tmp
- %TEMP%\tmp810a.tmp
- %TEMP%\tmp811b.tmp
- %TEMP%\tmp812d.tmp
- %TEMP%\tmp80bb.tmp
- %TEMP%\tmp80cd.tmp
- %TEMP%\tmp812f.tmp
- %TEMP%\tmp8154.tmp
- %TEMP%\tmp8166.tmp
- %TEMP%\tmp8187.tmp
- %TEMP%\tmp8189.tmp
- %TEMP%\tmp81c9.tmp
- %TEMP%\tmp81cb.tmp
- %TEMP%\tmp81dd.tmp
- %TEMP%\tmp81ee.tmp
- %TEMP%\tmp81fe.tmp
- %TEMP%\tmp8141.tmp
- %TEMP%\tmp8152.tmp
- %TEMP%\tmp80aa.tmp
- %TEMP%\tmp80a8.tmp
- %TEMP%\tmp8096.tmp
- %TEMP%\tmp7f61.tmp
- %TEMP%\tmp7f73.tmp
- %TEMP%\tmp7f84.tmp
- %TEMP%\tmp7f96.tmp
- %TEMP%\tmp7fb7.tmp
- %TEMP%\tmp7fc9.tmp
- %TEMP%\tmp7fda.tmp
- %TEMP%\tmp7fec.tmp
- %TEMP%\tmp7fee.tmp
- %TEMP%\tmp7fff.tmp
- %TEMP%\tmp7f4f.tmp
- %TEMP%\tmp8011.tmp
- %TEMP%\tmp8025.tmp
- %TEMP%\tmp8027.tmp
- %TEMP%\tmp8038.tmp
- %TEMP%\tmp803a.tmp
- %TEMP%\tmp804c.tmp
- %TEMP%\tmp805d.tmp
- %TEMP%\tmp806f.tmp
- %TEMP%\tmp8071.tmp
- %TEMP%\tmp8083.tmp
- %TEMP%\tmp8085.tmp
- %TEMP%\tmp8013.tmp
- %TEMP%\tmp820f.tmp
- %TEMP%\tmp821f.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://45.###.236.86:35200/IRemotePanel via 45.##9.236.86
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
