Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\thebestof\bestof.exe
- %TEMP%\tmp5750.tmp
- %TEMP%\tmp5760.tmp
- %TEMP%\tmp5761.tmp
- %TEMP%\tmp5762.tmp
- %TEMP%\tmp5773.tmp
- %TEMP%\tmp5774.tmp
- %TEMP%\tmp5784.tmp
- %TEMP%\tmp5785.tmp
- %TEMP%\tmp5693.tmp
- %TEMP%\tmp5786.tmp
- %TEMP%\tmp5798.tmp
- %TEMP%\tmp57a9.tmp
- %TEMP%\tmp57aa.tmp
- %TEMP%\tmp57ab.tmp
- %TEMP%\tmp57bb.tmp
- %TEMP%\tmp57cc.tmp
- %TEMP%\tmp57cd.tmp
- %TEMP%\tmp57ce.tmp
- %TEMP%\tmp57de.tmp
- %TEMP%\tmp573d.tmp
- %TEMP%\tmp5797.tmp
- %TEMP%\tmp574f.tmp
- %TEMP%\tmp574e.tmp
- %TEMP%\tmp572c.tmp
- %TEMP%\tmp572b.tmp
- %TEMP%\tmp565b.tmp
- %TEMP%\tmp565c.tmp
- %TEMP%\tmp565d.tmp
- %TEMP%\tmp566e.tmp
- %TEMP%\tmp566f.tmp
- %TEMP%\tmp5670.tmp
- %TEMP%\tmp5680.tmp
- %TEMP%\tmp5691.tmp
- %TEMP%\tmp57df.tmp
- %TEMP%\tmp5692.tmp
- nul
- %TEMP%\tmp56a4.tmp
- %TEMP%\tmp56c5.tmp
- %TEMP%\tmp56d5.tmp
- %TEMP%\tmp56d6.tmp
- %TEMP%\tmp56d7.tmp
- %TEMP%\tmp56e8.tmp
- %TEMP%\tmp56f9.tmp
- %TEMP%\tmp5709.tmp
- %TEMP%\tmp570a.tmp
- %TEMP%\tmp561b.tmp
- %TEMP%\tmp571b.tmp
- %TEMP%\tmp56b4.tmp
- %TEMP%\tmp561c.tmp
- %TEMP%\tmp57f0.tmp
- %TEMP%\tmp5804.tmp
- %TEMP%\tmp58aa.tmp
- %TEMP%\tmp58bb.tmp
- %TEMP%\tmp58bc.tmp
- %TEMP%\tmp58bd.tmp
- %TEMP%\tmp58cd.tmp
- %TEMP%\tmp58ce.tmp
- %TEMP%\tmp58df.tmp
- %TEMP%\tmp58e0.tmp
- %TEMP%\tmp58e1.tmp
- %TEMP%\tmp5896.tmp
- %TEMP%\tmp58e2.tmp
- %TEMP%\tmp5922.tmp
- %TEMP%\tmp5923.tmp
- %TEMP%\tmp5924.tmp
- %TEMP%\tmp5935.tmp
- %TEMP%\tmp5936.tmp
- %TEMP%\tmp5966.tmp
- %TEMP%\tmp5967.tmp
- %TEMP%\tmp5977.tmp
- %TEMP%\tmp5997.tmp
- %TEMP%\tmp58a8.tmp
- %TEMP%\tmp58a9.tmp
- %TEMP%\tmp5897.tmp
- %TEMP%\tmp5886.tmp
- %TEMP%\tmp4b30.tmp
- %TEMP%\tmp5805.tmp
- %TEMP%\tmp5806.tmp
- %TEMP%\tmp5816.tmp
- %TEMP%\tmp5817.tmp
- %TEMP%\tmp5828.tmp
- %TEMP%\tmp5829.tmp
- %TEMP%\tmp582a.tmp
- %TEMP%\tmp583a.tmp
- %TEMP%\tmp57f1.tmp
- %TEMP%\tmp5803.tmp
- %TEMP%\tmp57f2.tmp
- %TEMP%\tmp583b.tmp
- %TEMP%\tmp584f.tmp
- %TEMP%\tmp5860.tmp
- %TEMP%\tmp5861.tmp
- %TEMP%\tmp5862.tmp
- %TEMP%\tmp5863.tmp
- %TEMP%\tmp5873.tmp
- %TEMP%\tmp5874.tmp
- %TEMP%\tmp5885.tmp
- %TEMP%\tmp584c.tmp
- %TEMP%\tmp584d.tmp
- %TEMP%\tmp584e.tmp
- %TEMP%\tmp4cae.tmp
- %TEMP%\tmp4c9e.tmp
- %TEMP%\tmp4c7d.tmp
- %TEMP%\tmp49d6.tmp
- %TEMP%\tmp49d7.tmp
- %TEMP%\tmp49f7.tmp
- %TEMP%\tmp4a08.tmp
- %TEMP%\tmp4a09.tmp
- %TEMP%\tmp4a29.tmp
- %TEMP%\tmp4a2a.tmp
- %TEMP%\tmp4a3b.tmp
- %TEMP%\tmp4a3c.tmp
- %TEMP%\tmp4aa5.tmp
- %TEMP%\tmp4a4c.tmp
- %TEMP%\tmp4a5e.tmp
- %TEMP%\tmp4a5f.tmp
- %TEMP%\tmp4a6f.tmp
- %TEMP%\tmp4a70.tmp
- %TEMP%\tmp4a81.tmp
- %TEMP%\tmp4a82.tmp
- %TEMP%\tmp4a93.tmp
- %TEMP%\tmp4a94.tmp
- %TEMP%\tmp49b4.tmp
- %TEMP%\tmp49b3.tmp
- %TEMP%\tmp49c5.tmp
- %TEMP%\tmp49b2.tmp
- %TEMP%\tmp49a1.tmp
- %APPDATA%\thebestof\bestofd.exe
- %TEMP%\tmp4817.tmp
- %TEMP%\tmp4837.tmp
- %TEMP%\tmp48e4.tmp
- %TEMP%\tmp48f4.tmp
- %TEMP%\tmp48f5.tmp
- %TEMP%\tmp4906.tmp
- %TEMP%\tmp4916.tmp
- %TEMP%\tmp4917.tmp
- %TEMP%\tmp4a95.tmp
- %TEMP%\tmp4928.tmp
- %TEMP%\tmp4a4d.tmp
- %TEMP%\tmp493a.tmp
- %TEMP%\tmp494b.tmp
- %TEMP%\tmp496b.tmp
- %TEMP%\tmp496c.tmp
- %TEMP%\tmp497d.tmp
- %TEMP%\tmp497e.tmp
- %TEMP%\tmp498f.tmp
- %TEMP%\tmp4990.tmp
- %TEMP%\tmp49a0.tmp
- %TEMP%\tmp4929.tmp
- %APPDATA%\thebestof\geo.txt
- %TEMP%\tmp493b.tmp
- %TEMP%\tmp49c4.tmp
- %TEMP%\tmp4aa6.tmp
- %TEMP%\tmp4bac.tmp
- %TEMP%\tmp4bae.tmp
- %TEMP%\tmp4bbf.tmp
- %TEMP%\tmp4bc0.tmp
- %TEMP%\tmp4bd0.tmp
- %TEMP%\tmp4bd1.tmp
- %TEMP%\tmp4bd2.tmp
- %TEMP%\tmp4be3.tmp
- %TEMP%\tmp4c03.tmp
- %TEMP%\tmp4bab.tmp
- %TEMP%\tmp4ac6.tmp
- %TEMP%\tmp4bad.tmp
- %TEMP%\tmp4c04.tmp
- %TEMP%\tmp4c27.tmp
- %TEMP%\tmp4c28.tmp
- %TEMP%\tmp4c39.tmp
- %TEMP%\tmp4c3a.tmp
- %TEMP%\tmp4c3b.tmp
- %TEMP%\tmp4c4c.tmp
- %TEMP%\tmp4c4d.tmp
- %TEMP%\tmp4c5d.tmp
- %TEMP%\tmp4c15.tmp
- %TEMP%\tmp4c16.tmp
- %TEMP%\tmp4c26.tmp
- %TEMP%\tmp5921.tmp
- %TEMP%\tmp59b8.tmp
- %TEMP%\tmp4b89.tmp
- %TEMP%\tmp4ae8.tmp
- %TEMP%\tmp4ae9.tmp
- %TEMP%\tmp4aea.tmp
- %TEMP%\tmp4aeb.tmp
- %TEMP%\tmp4afb.tmp
- %TEMP%\tmp4afc.tmp
- %TEMP%\tmp4b0d.tmp
- %TEMP%\tmp4b1d.tmp
- %TEMP%\tmp4b1e.tmp
- %TEMP%\tmp4b9a.tmp
- %TEMP%\tmp4b9b.tmp
- %TEMP%\tmp4b2f.tmp
- %TEMP%\tmp4b42.tmp
- %TEMP%\tmp4b52.tmp
- %TEMP%\tmp4b53.tmp
- %TEMP%\tmp4b54.tmp
- %TEMP%\tmp4b55.tmp
- %TEMP%\tmp4b75.tmp
- %TEMP%\tmp4b76.tmp
- %TEMP%\tmp4b77.tmp
- %TEMP%\tmp4b88.tmp
- %TEMP%\tmp4ad7.tmp
- %TEMP%\tmp4b41.tmp
- %TEMP%\tmp59b9.tmp
Удаляет следующие файлы
- %TEMP%\tmp4837.tmp
- %TEMP%\tmp57f1.tmp
- %TEMP%\tmp57df.tmp
- %TEMP%\tmp57ce.tmp
- %TEMP%\tmp57cc.tmp
- %TEMP%\tmp57ab.tmp
- %TEMP%\tmp57a9.tmp
- %TEMP%\tmp5797.tmp
- %TEMP%\tmp5785.tmp
- %TEMP%\tmp5774.tmp
- %TEMP%\tmp5762.tmp
- %TEMP%\tmp565c.tmp
- %TEMP%\tmp5760.tmp
- %TEMP%\tmp573d.tmp
- %TEMP%\tmp572b.tmp
- %TEMP%\tmp570a.tmp
- %TEMP%\tmp56f9.tmp
- %TEMP%\tmp56d7.tmp
- %TEMP%\tmp56d5.tmp
- %TEMP%\tmp56b4.tmp
- %TEMP%\tmp5693.tmp
- %TEMP%\tmp5691.tmp
- %TEMP%\tmp5670.tmp
- %TEMP%\tmp574f.tmp
- %TEMP%\tmp566e.tmp
- %TEMP%\tmp5803.tmp
- %TEMP%\tmp58a9.tmp
- %TEMP%\tmp5997.tmp
- %TEMP%\tmp5977.tmp
- %TEMP%\tmp5967.tmp
- %TEMP%\tmp5936.tmp
- %TEMP%\tmp5924.tmp
- %TEMP%\tmp5922.tmp
- %TEMP%\tmp58e2.tmp
- %TEMP%\tmp58e0.tmp
- %TEMP%\tmp58ce.tmp
- %TEMP%\tmp58bd.tmp
- %TEMP%\tmp5816.tmp
- %TEMP%\tmp5805.tmp
- %TEMP%\tmp5897.tmp
- %TEMP%\tmp5886.tmp
- %TEMP%\tmp5874.tmp
- %TEMP%\tmp5863.tmp
- %TEMP%\tmp5861.tmp
- %TEMP%\tmp584f.tmp
- %TEMP%\tmp584d.tmp
- %TEMP%\tmp583b.tmp
- %TEMP%\tmp582a.tmp
- %TEMP%\tmp5828.tmp
- %TEMP%\tmp58bb.tmp
- %TEMP%\tmp561c.tmp
- %TEMP%\tmp4cae.tmp
- %TEMP%\tmp4c9e.tmp
- %TEMP%\tmp4a93.tmp
- %TEMP%\tmp4a81.tmp
- %TEMP%\tmp4a6f.tmp
- %TEMP%\tmp4a5e.tmp
- %TEMP%\tmp4a4c.tmp
- %TEMP%\tmp4a3b.tmp
- %TEMP%\tmp4a29.tmp
- %TEMP%\tmp4a08.tmp
- %TEMP%\tmp49d7.tmp
- %TEMP%\tmp4aa6.tmp
- %TEMP%\tmp49c5.tmp
- %TEMP%\tmp49b2.tmp
- %TEMP%\tmp49a0.tmp
- %TEMP%\tmp498f.tmp
- %TEMP%\tmp497d.tmp
- %TEMP%\tmp496b.tmp
- %TEMP%\tmp493b.tmp
- %TEMP%\tmp4929.tmp
- %TEMP%\tmp4917.tmp
- %TEMP%\tmp4906.tmp
- %TEMP%\tmp48f4.tmp
- %TEMP%\tmp49b4.tmp
- %TEMP%\tmp4ad7.tmp
- %TEMP%\tmp4a95.tmp
- %TEMP%\tmp4ae9.tmp
- %TEMP%\tmp4c7d.tmp
- %TEMP%\tmp4bae.tmp
- %TEMP%\tmp4c5d.tmp
- %TEMP%\tmp4c4d.tmp
- %TEMP%\tmp4c3b.tmp
- %TEMP%\tmp4c39.tmp
- %TEMP%\tmp4c27.tmp
- %TEMP%\tmp4c16.tmp
- %TEMP%\tmp4c04.tmp
- %TEMP%\tmp4be3.tmp
- %TEMP%\tmp4bd1.tmp
- %TEMP%\tmp4bc0.tmp
- %TEMP%\tmp4bac.tmp
- %TEMP%\tmp4aeb.tmp
- %TEMP%\tmp4b9b.tmp
- %TEMP%\tmp4b89.tmp
- %TEMP%\tmp4b77.tmp
- %TEMP%\tmp4b75.tmp
- %TEMP%\tmp4b54.tmp
- %TEMP%\tmp4b52.tmp
- %TEMP%\tmp4b41.tmp
- %TEMP%\tmp4b2f.tmp
- %TEMP%\tmp4b1d.tmp
- %TEMP%\tmp4afc.tmp
- %TEMP%\tmp59b8.tmp
- %TEMP%\tmp59b9.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ju###top.top/bestof/bestof.exe
- http://ju###top.top/bestof/bestofd.exe
- http://ip##pi.com/line/
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://93.##4.128.121/IRemotePanel
- http://rr##mal.xyz/IRemotePanel
UDP
- DNS ASK ip###ger.org
- DNS ASK ju###top.top
- DNS ASK ip##pi.com
- DNS ASK rr##mal.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\thebestof\bestof.exe'
- '%APPDATA%\thebestof\bestofd.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
