Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpe494.tmp
- %TEMP%\tmpe6cf.tmp
- %TEMP%\tmpe6ce.tmp
- %TEMP%\tmpe6cd.tmp
- %TEMP%\tmpe6cc.tmp
- %TEMP%\tmpe6cb.tmp
- %TEMP%\tmpe6ba.tmp
- %TEMP%\tmpe6b9.tmp
- %TEMP%\tmpe6a9.tmp
- %TEMP%\tmpe6a8.tmp
- %TEMP%\tmpe6a7.tmp
- %TEMP%\tmpe6a6.tmp
- %TEMP%\tmpe695.tmp
- %TEMP%\tmpe694.tmp
- %TEMP%\tmpe684.tmp
- %TEMP%\tmpe683.tmp
- %TEMP%\tmpe682.tmp
- %TEMP%\tmpe681.tmp
- %TEMP%\tmpe670.tmp
- %TEMP%\tmpe66f.tmp
- %TEMP%\tmpe65e.tmp
- %TEMP%\tmpe65d.tmp
- %TEMP%\tmpe6e0.tmp
- %TEMP%\tmpe6e1.tmp
- %TEMP%\tmpe6e2.tmp
- %TEMP%\tmpe6f2.tmp
- %TEMP%\tmpe7c3.tmp
- %TEMP%\tmpe794.tmp
- %TEMP%\tmpe783.tmp
- %TEMP%\tmpe772.tmp
- %TEMP%\tmpe762.tmp
- %TEMP%\tmpe751.tmp
- %TEMP%\tmpe750.tmp
- %TEMP%\tmpe740.tmp
- %TEMP%\tmpe73f.tmp
- %TEMP%\tmpe72e.tmp
- %TEMP%\tmpe72c.tmp
- %TEMP%\tmpe72d.tmp
- %TEMP%\tmpe72b.tmp
- %TEMP%\tmpe71a.tmp
- %TEMP%\tmpe719.tmp
- %TEMP%\tmpe718.tmp
- %TEMP%\tmpe708.tmp
- %TEMP%\tmpe707.tmp
- %TEMP%\tmpe706.tmp
- %TEMP%\tmpe6f5.tmp
- %TEMP%\tmpe6f4.tmp
- %TEMP%\tmpe6f3.tmp
- %TEMP%\tmpe7c4.tmp
- %TEMP%\tmpe65c.tmp
- %TEMP%\tmpe65b.tmp
- %TEMP%\tmpe64b.tmp
- %TEMP%\tmpe583.tmp
- %TEMP%\tmpe582.tmp
- %TEMP%\tmpe581.tmp
- %TEMP%\tmpe571.tmp
- %TEMP%\tmpe570.tmp
- %TEMP%\tmpe55f.tmp
- %TEMP%\tmpe55e.tmp
- %TEMP%\tmpe54d.tmp
- %TEMP%\tmpe54c.tmp
- %TEMP%\tmpe53c.tmp
- %TEMP%\tmpe52b.tmp
- %TEMP%\tmpe52a.tmp
- %TEMP%\tmpe529.tmp
- %TEMP%\tmpe519.tmp
- %TEMP%\tmpe508.tmp
- %TEMP%\tmpe507.tmp
- %TEMP%\tmpe506.tmp
- %TEMP%\tmpe4f5.tmp
- %TEMP%\tmpe4f4.tmp
- %TEMP%\tmpe4e4.tmp
- %TEMP%\tmpe495.tmp
- %TEMP%\tmpe584.tmp
- %TEMP%\tmpe595.tmp
- %TEMP%\tmpe596.tmp
- %TEMP%\tmpe5a6.tmp
- %TEMP%\tmpe639.tmp
- %TEMP%\tmpe638.tmp
- %TEMP%\tmpe628.tmp
- %TEMP%\tmpe617.tmp
- %TEMP%\tmpe616.tmp
- %TEMP%\tmpe615.tmp
- %TEMP%\tmpe614.tmp
- %TEMP%\tmpe603.tmp
- %TEMP%\tmpe602.tmp
- %TEMP%\tmpe5f2.tmp
- %TEMP%\tmpe5e0.tmp
- %TEMP%\tmpe5f1.tmp
- %TEMP%\tmpe5df.tmp
- %TEMP%\tmpe5cf.tmp
- %TEMP%\tmpe5ce.tmp
- %TEMP%\tmpe5cd.tmp
- %TEMP%\tmpe5bc.tmp
- %TEMP%\tmpe5bb.tmp
- %TEMP%\tmpe5ba.tmp
- %TEMP%\tmpe5a9.tmp
- %TEMP%\tmpe5a8.tmp
- %TEMP%\tmpe5a7.tmp
- %TEMP%\tmpe64a.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpe495.tmp
- %TEMP%\tmpe684.tmp
- %TEMP%\tmpe695.tmp
- %TEMP%\tmpe6a7.tmp
- %TEMP%\tmpe6a9.tmp
- %TEMP%\tmpe6ba.tmp
- %TEMP%\tmpe6cc.tmp
- %TEMP%\tmpe6ce.tmp
- %TEMP%\tmpe6e0.tmp
- %TEMP%\tmpe6e2.tmp
- %TEMP%\tmpe670.tmp
- %TEMP%\tmpe682.tmp
- %TEMP%\tmpe6f3.tmp
- %TEMP%\tmpe718.tmp
- %TEMP%\tmpe71a.tmp
- %TEMP%\tmpe72c.tmp
- %TEMP%\tmpe72e.tmp
- %TEMP%\tmpe740.tmp
- %TEMP%\tmpe751.tmp
- %TEMP%\tmpe772.tmp
- %TEMP%\tmpe783.tmp
- %TEMP%\tmpe794.tmp
- %TEMP%\tmpe6f5.tmp
- %TEMP%\tmpe707.tmp
- %TEMP%\tmpe65e.tmp
- %TEMP%\tmpe65c.tmp
- %TEMP%\tmpe64b.tmp
- %TEMP%\tmpe506.tmp
- %TEMP%\tmpe508.tmp
- %TEMP%\tmpe529.tmp
- %TEMP%\tmpe52b.tmp
- %TEMP%\tmpe54c.tmp
- %TEMP%\tmpe55e.tmp
- %TEMP%\tmpe570.tmp
- %TEMP%\tmpe581.tmp
- %TEMP%\tmpe583.tmp
- %TEMP%\tmpe595.tmp
- %TEMP%\tmpe4f4.tmp
- %TEMP%\tmpe5a6.tmp
- %TEMP%\tmpe5ba.tmp
- %TEMP%\tmpe5bc.tmp
- %TEMP%\tmpe5ce.tmp
- %TEMP%\tmpe5df.tmp
- %TEMP%\tmpe5f1.tmp
- %TEMP%\tmpe602.tmp
- %TEMP%\tmpe614.tmp
- %TEMP%\tmpe616.tmp
- %TEMP%\tmpe628.tmp
- %TEMP%\tmpe639.tmp
- %TEMP%\tmpe5a8.tmp
- %TEMP%\tmpe7c3.tmp
- %TEMP%\tmpe7c4.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://18#.###.29.169:35200/IRemotePanel via 18#.#44.29.169
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
