Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp8f63.tmp
- %TEMP%\tmp9112.tmp
- %TEMP%\tmp9111.tmp
- %TEMP%\tmp9110.tmp
- %TEMP%\tmp90ff.tmp
- %TEMP%\tmp90fe.tmp
- %TEMP%\tmp90fd.tmp
- %TEMP%\tmp90fc.tmp
- %TEMP%\tmp90fb.tmp
- %TEMP%\tmp90fa.tmp
- %TEMP%\tmp90e9.tmp
- %TEMP%\tmp90e8.tmp
- %TEMP%\tmp90e7.tmp
- %TEMP%\tmp90e6.tmp
- %TEMP%\tmp90e5.tmp
- %TEMP%\tmp90d5.tmp
- %TEMP%\tmp90d4.tmp
- %TEMP%\tmp90d3.tmp
- %TEMP%\tmp90c2.tmp
- %TEMP%\tmp90c1.tmp
- %TEMP%\tmp90c0.tmp
- %TEMP%\tmp90bf.tmp
- %TEMP%\tmp9113.tmp
- %TEMP%\tmp9114.tmp
- %TEMP%\tmp9124.tmp
- %TEMP%\tmp9125.tmp
- %TEMP%\tmp9199.tmp
- %TEMP%\tmp9188.tmp
- %TEMP%\tmp9178.tmp
- %TEMP%\tmp9177.tmp
- %TEMP%\tmp9166.tmp
- %TEMP%\tmp9165.tmp
- %TEMP%\tmp9164.tmp
- %TEMP%\tmp9163.tmp
- %TEMP%\tmp9152.tmp
- %TEMP%\tmp9151.tmp
- %TEMP%\tmp914f.tmp
- %TEMP%\tmp9150.tmp
- %TEMP%\tmp914e.tmp
- %TEMP%\tmp914d.tmp
- %TEMP%\tmp913d.tmp
- %TEMP%\tmp913c.tmp
- %TEMP%\tmp913b.tmp
- %TEMP%\tmp913a.tmp
- %TEMP%\tmp9139.tmp
- %TEMP%\tmp9128.tmp
- %TEMP%\tmp9127.tmp
- %TEMP%\tmp9126.tmp
- %TEMP%\tmp91a9.tmp
- %TEMP%\tmp90be.tmp
- %TEMP%\tmp90bd.tmp
- %TEMP%\tmp90bc.tmp
- %TEMP%\tmp9014.tmp
- %TEMP%\tmp9013.tmp
- %TEMP%\tmp9002.tmp
- %TEMP%\tmp9001.tmp
- %TEMP%\tmp8ff1.tmp
- %TEMP%\tmp8ff0.tmp
- %TEMP%\tmp8fdf.tmp
- %TEMP%\tmp8fde.tmp
- %TEMP%\tmp8fdd.tmp
- %TEMP%\tmp8fdc.tmp
- %TEMP%\tmp8fcb.tmp
- %TEMP%\tmp8fca.tmp
- %TEMP%\tmp8fc9.tmp
- %TEMP%\tmp8fb9.tmp
- %TEMP%\tmp8fb8.tmp
- %TEMP%\tmp8fb7.tmp
- %TEMP%\tmp8fa6.tmp
- %TEMP%\tmp8fa5.tmp
- %TEMP%\tmp8fa4.tmp
- %TEMP%\tmp8f94.tmp
- %TEMP%\tmp8f64.tmp
- %TEMP%\tmp9024.tmp
- %TEMP%\tmp9025.tmp
- %TEMP%\tmp9036.tmp
- %TEMP%\tmp9037.tmp
- %TEMP%\tmp90ab.tmp
- %TEMP%\tmp90aa.tmp
- %TEMP%\tmp9099.tmp
- %TEMP%\tmp9098.tmp
- %TEMP%\tmp9097.tmp
- %TEMP%\tmp9086.tmp
- %TEMP%\tmp9085.tmp
- %TEMP%\tmp9084.tmp
- %TEMP%\tmp9083.tmp
- %TEMP%\tmp9073.tmp
- %TEMP%\tmp9071.tmp
- %TEMP%\tmp9072.tmp
- %TEMP%\tmp9070.tmp
- %TEMP%\tmp905f.tmp
- %TEMP%\tmp905e.tmp
- %TEMP%\tmp905d.tmp
- %TEMP%\tmp904d.tmp
- %TEMP%\tmp904c.tmp
- %TEMP%\tmp904b.tmp
- %TEMP%\tmp904a.tmp
- %TEMP%\tmp9049.tmp
- %TEMP%\tmp9038.tmp
- %TEMP%\tmp90ac.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp8f64.tmp
- %TEMP%\tmp90e5.tmp
- %TEMP%\tmp90e7.tmp
- %TEMP%\tmp90e9.tmp
- %TEMP%\tmp90fb.tmp
- %TEMP%\tmp90fd.tmp
- %TEMP%\tmp90ff.tmp
- %TEMP%\tmp9111.tmp
- %TEMP%\tmp9113.tmp
- %TEMP%\tmp9124.tmp
- %TEMP%\tmp90c2.tmp
- %TEMP%\tmp90d4.tmp
- %TEMP%\tmp9126.tmp
- %TEMP%\tmp913c.tmp
- %TEMP%\tmp914d.tmp
- %TEMP%\tmp914f.tmp
- %TEMP%\tmp9151.tmp
- %TEMP%\tmp9163.tmp
- %TEMP%\tmp9165.tmp
- %TEMP%\tmp9177.tmp
- %TEMP%\tmp9178.tmp
- %TEMP%\tmp9188.tmp
- %TEMP%\tmp9128.tmp
- %TEMP%\tmp913a.tmp
- %TEMP%\tmp90c0.tmp
- %TEMP%\tmp90be.tmp
- %TEMP%\tmp90bc.tmp
- %TEMP%\tmp8fa6.tmp
- %TEMP%\tmp8fb8.tmp
- %TEMP%\tmp8fc9.tmp
- %TEMP%\tmp8fcb.tmp
- %TEMP%\tmp8fdd.tmp
- %TEMP%\tmp8fdf.tmp
- %TEMP%\tmp8ff1.tmp
- %TEMP%\tmp9002.tmp
- %TEMP%\tmp9014.tmp
- %TEMP%\tmp9025.tmp
- %TEMP%\tmp8fa4.tmp
- %TEMP%\tmp9037.tmp
- %TEMP%\tmp904b.tmp
- %TEMP%\tmp904d.tmp
- %TEMP%\tmp905e.tmp
- %TEMP%\tmp9070.tmp
- %TEMP%\tmp9072.tmp
- %TEMP%\tmp9083.tmp
- %TEMP%\tmp9085.tmp
- %TEMP%\tmp9097.tmp
- %TEMP%\tmp9099.tmp
- %TEMP%\tmp90ab.tmp
- %TEMP%\tmp9049.tmp
- %TEMP%\tmp9199.tmp
- %TEMP%\tmp91a9.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://rr##mal.xyz/IRemotePanel
UDP
- DNS ASK rr##mal.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
