Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpeba5.tmp
- %TEMP%\tmpee6d.tmp
- %TEMP%\tmpee6c.tmp
- %TEMP%\tmpee6b.tmp
- %TEMP%\tmpee5a.tmp
- %TEMP%\tmpee4a.tmp
- %TEMP%\tmpee49.tmp
- %TEMP%\tmpee48.tmp
- %TEMP%\tmpee37.tmp
- %TEMP%\tmpee36.tmp
- %TEMP%\tmpee35.tmp
- %TEMP%\tmpee34.tmp
- %TEMP%\tmpee24.tmp
- %TEMP%\tmpee23.tmp
- %TEMP%\tmpee12.tmp
- %TEMP%\tmpee11.tmp
- %TEMP%\tmpee10.tmp
- %TEMP%\tmpedff.tmp
- %TEMP%\tmpedfe.tmp
- %TEMP%\tmpedfd.tmp
- %TEMP%\tmpeded.tmp
- %TEMP%\tmpedec.tmp
- %TEMP%\tmpee7e.tmp
- %TEMP%\tmpee7f.tmp
- %TEMP%\tmpee80.tmp
- %TEMP%\tmpee90.tmp
- %TEMP%\tmpef52.tmp
- %TEMP%\tmpef22.tmp
- %TEMP%\tmpef02.tmp
- %TEMP%\tmpef01.tmp
- %TEMP%\tmpeef0.tmp
- %TEMP%\tmpeeef.tmp
- %TEMP%\tmpeeee.tmp
- %TEMP%\tmpeede.tmp
- %TEMP%\tmpeedd.tmp
- %TEMP%\tmpeedc.tmp
- %TEMP%\tmpeeca.tmp
- %TEMP%\tmpeecb.tmp
- %TEMP%\tmpeec9.tmp
- %TEMP%\tmpeeb8.tmp
- %TEMP%\tmpeeb7.tmp
- %TEMP%\tmpeeb6.tmp
- %TEMP%\tmpeea6.tmp
- %TEMP%\tmpeea5.tmp
- %TEMP%\tmpeea4.tmp
- %TEMP%\tmpee93.tmp
- %TEMP%\tmpee92.tmp
- %TEMP%\tmpee91.tmp
- %TEMP%\tmpef53.tmp
- %TEMP%\tmpedeb.tmp
- %TEMP%\tmpedea.tmp
- %TEMP%\tmpedd9.tmp
- %TEMP%\tmpecb4.tmp
- %TEMP%\tmpeca3.tmp
- %TEMP%\tmpec93.tmp
- %TEMP%\tmpec92.tmp
- %TEMP%\tmpec81.tmp
- %TEMP%\tmpec80.tmp
- %TEMP%\tmpec7f.tmp
- %TEMP%\tmpec6f.tmp
- %TEMP%\tmpec6e.tmp
- %TEMP%\tmpec5d.tmp
- %TEMP%\tmpec4c.tmp
- %TEMP%\tmpec3c.tmp
- %TEMP%\tmpec3b.tmp
- %TEMP%\tmpec2a.tmp
- %TEMP%\tmpec29.tmp
- %TEMP%\tmpec19.tmp
- %TEMP%\tmpec18.tmp
- %TEMP%\tmpec07.tmp
- %TEMP%\tmpec06.tmp
- %TEMP%\tmpec05.tmp
- %TEMP%\tmpebb6.tmp
- %TEMP%\tmpecb5.tmp
- %TEMP%\tmpecb6.tmp
- %TEMP%\tmpecc7.tmp
- %TEMP%\tmpecc8.tmp
- %TEMP%\tmpedc8.tmp
- %TEMP%\tmped88.tmp
- %TEMP%\tmped87.tmp
- %TEMP%\tmped77.tmp
- %TEMP%\tmped66.tmp
- %TEMP%\tmped55.tmp
- %TEMP%\tmped54.tmp
- %TEMP%\tmped44.tmp
- %TEMP%\tmped33.tmp
- %TEMP%\tmped32.tmp
- %TEMP%\tmped11.tmp
- %TEMP%\tmped22.tmp
- %TEMP%\tmped00.tmp
- %TEMP%\tmpecff.tmp
- %TEMP%\tmpecfe.tmp
- %TEMP%\tmpecee.tmp
- %TEMP%\tmpeced.tmp
- %TEMP%\tmpecec.tmp
- %TEMP%\tmpecdb.tmp
- %TEMP%\tmpecda.tmp
- %TEMP%\tmpecd9.tmp
- %TEMP%\tmpecc9.tmp
- %TEMP%\tmpedd8.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpebb6.tmp
- %TEMP%\tmpee12.tmp
- %TEMP%\tmpee24.tmp
- %TEMP%\tmpee35.tmp
- %TEMP%\tmpee37.tmp
- %TEMP%\tmpee49.tmp
- %TEMP%\tmpee5a.tmp
- %TEMP%\tmpee6c.tmp
- %TEMP%\tmpee7e.tmp
- %TEMP%\tmpee80.tmp
- %TEMP%\tmpedfe.tmp
- %TEMP%\tmpee10.tmp
- %TEMP%\tmpee91.tmp
- %TEMP%\tmpeeb6.tmp
- %TEMP%\tmpeeb8.tmp
- %TEMP%\tmpeeca.tmp
- %TEMP%\tmpeedc.tmp
- %TEMP%\tmpeede.tmp
- %TEMP%\tmpeeef.tmp
- %TEMP%\tmpef01.tmp
- %TEMP%\tmpef02.tmp
- %TEMP%\tmpef22.tmp
- %TEMP%\tmpee93.tmp
- %TEMP%\tmpeea5.tmp
- %TEMP%\tmpeded.tmp
- %TEMP%\tmpedeb.tmp
- %TEMP%\tmpedd9.tmp
- %TEMP%\tmpec18.tmp
- %TEMP%\tmpec29.tmp
- %TEMP%\tmpec3b.tmp
- %TEMP%\tmpec4c.tmp
- %TEMP%\tmpec6e.tmp
- %TEMP%\tmpec7f.tmp
- %TEMP%\tmpec81.tmp
- %TEMP%\tmpec93.tmp
- %TEMP%\tmpecb4.tmp
- %TEMP%\tmpecb6.tmp
- %TEMP%\tmpec06.tmp
- %TEMP%\tmpecc8.tmp
- %TEMP%\tmpecdb.tmp
- %TEMP%\tmpeced.tmp
- %TEMP%\tmpecfe.tmp
- %TEMP%\tmped00.tmp
- %TEMP%\tmped22.tmp
- %TEMP%\tmped33.tmp
- %TEMP%\tmped54.tmp
- %TEMP%\tmped66.tmp
- %TEMP%\tmped87.tmp
- %TEMP%\tmpedc8.tmp
- %TEMP%\tmpecd9.tmp
- %TEMP%\tmpef52.tmp
- %TEMP%\tmpef53.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://16#.###.238.120:35200/IRemotePanel via 16#.#45.238.120
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
