Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp58ba.tmp
- %TEMP%\tmp5b62.tmp
- %TEMP%\tmp5b61.tmp
- %TEMP%\tmp5b60.tmp
- %TEMP%\tmp5b4f.tmp
- %TEMP%\tmp5b4e.tmp
- %TEMP%\tmp5b3e.tmp
- %TEMP%\tmp5b3d.tmp
- %TEMP%\tmp5b2c.tmp
- %TEMP%\tmp5b2b.tmp
- %TEMP%\tmp5b2a.tmp
- %TEMP%\tmp5b1a.tmp
- %TEMP%\tmp5b19.tmp
- %TEMP%\tmp5b08.tmp
- %TEMP%\tmp5b07.tmp
- %TEMP%\tmp5af6.tmp
- %TEMP%\tmp5af5.tmp
- %TEMP%\tmp5af4.tmp
- %TEMP%\tmp5ae4.tmp
- %TEMP%\tmp5ae3.tmp
- %TEMP%\tmp5ad2.tmp
- %TEMP%\tmp5ad1.tmp
- %TEMP%\tmp5b73.tmp
- %TEMP%\tmp5b74.tmp
- %TEMP%\tmp5b75.tmp
- %TEMP%\tmp5b85.tmp
- %TEMP%\tmp5c95.tmp
- %TEMP%\tmp5c65.tmp
- %TEMP%\tmp5c45.tmp
- %TEMP%\tmp5c34.tmp
- %TEMP%\tmp5c33.tmp
- %TEMP%\tmp5c23.tmp
- %TEMP%\tmp5c22.tmp
- %TEMP%\tmp5c21.tmp
- %TEMP%\tmp5c10.tmp
- %TEMP%\tmp5c0f.tmp
- %TEMP%\tmp5bfd.tmp
- %TEMP%\tmp5c0e.tmp
- %TEMP%\tmp5bfc.tmp
- %TEMP%\tmp5bdc.tmp
- %TEMP%\tmp5bdb.tmp
- %TEMP%\tmp5bab.tmp
- %TEMP%\tmp5baa.tmp
- %TEMP%\tmp5b9a.tmp
- %TEMP%\tmp5b99.tmp
- %TEMP%\tmp5b98.tmp
- %TEMP%\tmp5b87.tmp
- %TEMP%\tmp5b86.tmp
- %TEMP%\tmp5ca5.tmp
- %TEMP%\tmp5ad0.tmp
- %TEMP%\tmp5ac0.tmp
- %TEMP%\tmp5abf.tmp
- %TEMP%\tmp59d8.tmp
- %TEMP%\tmp59c7.tmp
- %TEMP%\tmp59c6.tmp
- %TEMP%\tmp59b6.tmp
- %TEMP%\tmp59b5.tmp
- %TEMP%\tmp59b4.tmp
- %TEMP%\tmp59a3.tmp
- %TEMP%\tmp59a2.tmp
- %TEMP%\tmp5991.tmp
- %TEMP%\tmp5981.tmp
- %TEMP%\tmp5980.tmp
- %TEMP%\tmp596f.tmp
- %TEMP%\tmp596e.tmp
- %TEMP%\tmp595e.tmp
- %TEMP%\tmp594d.tmp
- %TEMP%\tmp594c.tmp
- %TEMP%\tmp593b.tmp
- %TEMP%\tmp593a.tmp
- %TEMP%\tmp592a.tmp
- %TEMP%\tmp5929.tmp
- %TEMP%\tmp58ca.tmp
- %TEMP%\tmp59d9.tmp
- %TEMP%\tmp59da.tmp
- %TEMP%\tmp59ea.tmp
- %TEMP%\tmp59eb.tmp
- %TEMP%\tmp5aad.tmp
- %TEMP%\tmp5aac.tmp
- %TEMP%\tmp5a9b.tmp
- %TEMP%\tmp5a9a.tmp
- %TEMP%\tmp5a99.tmp
- %TEMP%\tmp5a89.tmp
- %TEMP%\tmp5a88.tmp
- %TEMP%\tmp5a77.tmp
- %TEMP%\tmp5a76.tmp
- %TEMP%\tmp5a66.tmp
- %TEMP%\tmp5a54.tmp
- %TEMP%\tmp5a55.tmp
- %TEMP%\tmp5a53.tmp
- %TEMP%\tmp5a33.tmp
- %TEMP%\tmp5a32.tmp
- %TEMP%\tmp5a21.tmp
- %TEMP%\tmp5a20.tmp
- %TEMP%\tmp5a10.tmp
- %TEMP%\tmp5a0f.tmp
- %TEMP%\tmp59fe.tmp
- %TEMP%\tmp59fd.tmp
- %TEMP%\tmp59ec.tmp
- %TEMP%\tmp5abe.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp58ca.tmp
- %TEMP%\tmp5b07.tmp
- %TEMP%\tmp5b19.tmp
- %TEMP%\tmp5b2a.tmp
- %TEMP%\tmp5b2c.tmp
- %TEMP%\tmp5b3e.tmp
- %TEMP%\tmp5b4f.tmp
- %TEMP%\tmp5b61.tmp
- %TEMP%\tmp5b73.tmp
- %TEMP%\tmp5b75.tmp
- %TEMP%\tmp5ae4.tmp
- %TEMP%\tmp5af5.tmp
- %TEMP%\tmp5b86.tmp
- %TEMP%\tmp5bab.tmp
- %TEMP%\tmp5bdc.tmp
- %TEMP%\tmp5bfd.tmp
- %TEMP%\tmp5c0f.tmp
- %TEMP%\tmp5c21.tmp
- %TEMP%\tmp5c23.tmp
- %TEMP%\tmp5c34.tmp
- %TEMP%\tmp5c45.tmp
- %TEMP%\tmp5c65.tmp
- %TEMP%\tmp5b98.tmp
- %TEMP%\tmp5b9a.tmp
- %TEMP%\tmp5ad2.tmp
- %TEMP%\tmp5ad0.tmp
- %TEMP%\tmp5abf.tmp
- %TEMP%\tmp593b.tmp
- %TEMP%\tmp594d.tmp
- %TEMP%\tmp596e.tmp
- %TEMP%\tmp5980.tmp
- %TEMP%\tmp5991.tmp
- %TEMP%\tmp59a3.tmp
- %TEMP%\tmp59b5.tmp
- %TEMP%\tmp59c6.tmp
- %TEMP%\tmp59d8.tmp
- %TEMP%\tmp59da.tmp
- %TEMP%\tmp592a.tmp
- %TEMP%\tmp59eb.tmp
- %TEMP%\tmp5a0f.tmp
- %TEMP%\tmp5a20.tmp
- %TEMP%\tmp5a32.tmp
- %TEMP%\tmp5a53.tmp
- %TEMP%\tmp5a55.tmp
- %TEMP%\tmp5a76.tmp
- %TEMP%\tmp5a88.tmp
- %TEMP%\tmp5a99.tmp
- %TEMP%\tmp5a9b.tmp
- %TEMP%\tmp5aad.tmp
- %TEMP%\tmp59fd.tmp
- %TEMP%\tmp5c95.tmp
- %TEMP%\tmp5ca5.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://94.###.91.245:35253/IRemotePanel via 94.##3.91.245
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
