Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp2ebd.tmp
- %TEMP%\tmp3146.tmp
- %TEMP%\tmp3145.tmp
- %TEMP%\tmp3144.tmp
- %TEMP%\tmp3143.tmp
- %TEMP%\tmp3133.tmp
- %TEMP%\tmp3132.tmp
- %TEMP%\tmp3131.tmp
- %TEMP%\tmp3130.tmp
- %TEMP%\tmp311f.tmp
- %TEMP%\tmp311e.tmp
- %TEMP%\tmp311d.tmp
- %TEMP%\tmp310d.tmp
- %TEMP%\tmp310c.tmp
- %TEMP%\tmp310b.tmp
- %TEMP%\tmp30fa.tmp
- %TEMP%\tmp30f9.tmp
- %TEMP%\tmp30f8.tmp
- %TEMP%\tmp30e7.tmp
- %TEMP%\tmp30e6.tmp
- %TEMP%\tmp30e5.tmp
- %TEMP%\tmp30e4.tmp
- %TEMP%\tmp3157.tmp
- %TEMP%\tmp3158.tmp
- %TEMP%\tmp3169.tmp
- %TEMP%\tmp316a.tmp
- %TEMP%\tmp320c.tmp
- %TEMP%\tmp31ec.tmp
- %TEMP%\tmp31db.tmp
- %TEMP%\tmp31cb.tmp
- %TEMP%\tmp31ca.tmp
- %TEMP%\tmp31b9.tmp
- %TEMP%\tmp31b8.tmp
- %TEMP%\tmp31b7.tmp
- %TEMP%\tmp31b6.tmp
- %TEMP%\tmp31a5.tmp
- %TEMP%\tmp3194.tmp
- %TEMP%\tmp31a4.tmp
- %TEMP%\tmp3193.tmp
- %TEMP%\tmp3192.tmp
- %TEMP%\tmp3191.tmp
- %TEMP%\tmp3180.tmp
- %TEMP%\tmp317f.tmp
- %TEMP%\tmp317e.tmp
- %TEMP%\tmp317d.tmp
- %TEMP%\tmp317c.tmp
- %TEMP%\tmp316c.tmp
- %TEMP%\tmp316b.tmp
- %TEMP%\tmp321d.tmp
- %TEMP%\tmp30e3.tmp
- %TEMP%\tmp30e2.tmp
- %TEMP%\tmp30d2.tmp
- %TEMP%\tmp300a.tmp
- %TEMP%\tmp3009.tmp
- %TEMP%\tmp2ff9.tmp
- %TEMP%\tmp2ff8.tmp
- %TEMP%\tmp2fe7.tmp
- %TEMP%\tmp2fe6.tmp
- %TEMP%\tmp2fe5.tmp
- %TEMP%\tmp2fd4.tmp
- %TEMP%\tmp2fc4.tmp
- %TEMP%\tmp2fc3.tmp
- %TEMP%\tmp2fb2.tmp
- %TEMP%\tmp2f73.tmp
- %TEMP%\tmp2f72.tmp
- %TEMP%\tmp2f61.tmp
- %TEMP%\tmp2f51.tmp
- %TEMP%\tmp2f50.tmp
- %TEMP%\tmp2f3f.tmp
- %TEMP%\tmp2f3e.tmp
- %TEMP%\tmp2f3d.tmp
- %TEMP%\tmp2f2c.tmp
- %TEMP%\tmp2ece.tmp
- %TEMP%\tmp300b.tmp
- %TEMP%\tmp301c.tmp
- %TEMP%\tmp301d.tmp
- %TEMP%\tmp302d.tmp
- %TEMP%\tmp30c0.tmp
- %TEMP%\tmp30bf.tmp
- %TEMP%\tmp30be.tmp
- %TEMP%\tmp30ae.tmp
- %TEMP%\tmp30ad.tmp
- %TEMP%\tmp30ac.tmp
- %TEMP%\tmp309b.tmp
- %TEMP%\tmp309a.tmp
- %TEMP%\tmp3099.tmp
- %TEMP%\tmp3088.tmp
- %TEMP%\tmp3077.tmp
- %TEMP%\tmp3087.tmp
- %TEMP%\tmp3066.tmp
- %TEMP%\tmp3065.tmp
- %TEMP%\tmp3055.tmp
- %TEMP%\tmp3054.tmp
- %TEMP%\tmp3043.tmp
- %TEMP%\tmp3042.tmp
- %TEMP%\tmp3031.tmp
- %TEMP%\tmp3030.tmp
- %TEMP%\tmp302f.tmp
- %TEMP%\tmp302e.tmp
- %TEMP%\tmp30d1.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp2ece.tmp
- %TEMP%\tmp310b.tmp
- %TEMP%\tmp310d.tmp
- %TEMP%\tmp311e.tmp
- %TEMP%\tmp3130.tmp
- %TEMP%\tmp3132.tmp
- %TEMP%\tmp3143.tmp
- %TEMP%\tmp3145.tmp
- %TEMP%\tmp3157.tmp
- %TEMP%\tmp3169.tmp
- %TEMP%\tmp30e7.tmp
- %TEMP%\tmp30f9.tmp
- %TEMP%\tmp316b.tmp
- %TEMP%\tmp3180.tmp
- %TEMP%\tmp3192.tmp
- %TEMP%\tmp3194.tmp
- %TEMP%\tmp31a5.tmp
- %TEMP%\tmp31b7.tmp
- %TEMP%\tmp31b9.tmp
- %TEMP%\tmp31cb.tmp
- %TEMP%\tmp31db.tmp
- %TEMP%\tmp31ec.tmp
- %TEMP%\tmp317c.tmp
- %TEMP%\tmp317e.tmp
- %TEMP%\tmp30e5.tmp
- %TEMP%\tmp30e3.tmp
- %TEMP%\tmp30d2.tmp
- %TEMP%\tmp2f3f.tmp
- %TEMP%\tmp2f51.tmp
- %TEMP%\tmp2f72.tmp
- %TEMP%\tmp2fb2.tmp
- %TEMP%\tmp2fc4.tmp
- %TEMP%\tmp2fe5.tmp
- %TEMP%\tmp2fe7.tmp
- %TEMP%\tmp2ff9.tmp
- %TEMP%\tmp300a.tmp
- %TEMP%\tmp301c.tmp
- %TEMP%\tmp2f3d.tmp
- %TEMP%\tmp302d.tmp
- %TEMP%\tmp3031.tmp
- %TEMP%\tmp3043.tmp
- %TEMP%\tmp3055.tmp
- %TEMP%\tmp3066.tmp
- %TEMP%\tmp3087.tmp
- %TEMP%\tmp3099.tmp
- %TEMP%\tmp309b.tmp
- %TEMP%\tmp30ad.tmp
- %TEMP%\tmp30be.tmp
- %TEMP%\tmp30c0.tmp
- %TEMP%\tmp302f.tmp
- %TEMP%\tmp320c.tmp
- %TEMP%\tmp321d.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Запросы HTTP POST
- http://ce##lla.xyz/IRemotePanel
UDP
- DNS ASK ce##lla.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
- DNS ASK as####otuviaje.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
