Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\gfersesurity\bestof.exe
- %TEMP%\tmpadc4.tmp
- %TEMP%\tmpadc3.tmp
- %TEMP%\tmpadb3.tmp
- %TEMP%\tmpadb2.tmp
- %TEMP%\tmpadb1.tmp
- %TEMP%\tmpadb0.tmp
- %TEMP%\tmpadaf.tmp
- %TEMP%\tmpad9e.tmp
- %TEMP%\tmpad9d.tmp
- %TEMP%\tmpad9c.tmp
- %TEMP%\tmpadc5.tmp
- %TEMP%\tmpad9b.tmp
- %TEMP%\tmpad8a.tmp
- %TEMP%\tmpad79.tmp
- %TEMP%\tmpad78.tmp
- %TEMP%\tmpad77.tmp
- %TEMP%\tmpad76.tmp
- %TEMP%\tmpad65.tmp
- %TEMP%\tmpad64.tmp
- %TEMP%\tmpad63.tmp
- %TEMP%\tmpad62.tmp
- %TEMP%\tmpad52.tmp
- %TEMP%\tmpad9a.tmp
- %TEMP%\tmpae02.tmp
- %TEMP%\tmpae9b.tmp
- %TEMP%\tmpadd8.tmp
- %TEMP%\tmpae7a.tmp
- %TEMP%\tmpae6a.tmp
- %TEMP%\tmpae59.tmp
- %TEMP%\tmpae58.tmp
- %TEMP%\tmpae57.tmp
- %TEMP%\tmpae47.tmp
- %TEMP%\tmpae46.tmp
- %TEMP%\tmpae45.tmp
- %TEMP%\tmpae44.tmp
- %TEMP%\tmpae04.tmp
- %TEMP%\tmpad51.tmp
- %TEMP%\tmpae03.tmp
- %TEMP%\tmpae01.tmp
- %TEMP%\tmpae00.tmp
- %TEMP%\tmpadff.tmp
- %TEMP%\tmpadfe.tmp
- %TEMP%\tmpadee.tmp
- %TEMP%\tmpaded.tmp
- %TEMP%\tmpadec.tmp
- %TEMP%\tmpaddb.tmp
- %TEMP%\tmpadda.tmp
- %TEMP%\tmpadd9.tmp
- %TEMP%\tmpadc6.tmp
- %TEMP%\tmpadd7.tmp
- %TEMP%\tmpad50.tmp
- %TEMP%\tmpac9a.tmp
- %TEMP%\tmpac87.tmp
- %TEMP%\tmpac86.tmp
- %TEMP%\tmpac76.tmp
- %TEMP%\tmpac75.tmp
- %TEMP%\tmpac64.tmp
- %TEMP%\tmpac63.tmp
- %TEMP%\tmpac52.tmp
- %TEMP%\tmpac51.tmp
- %TEMP%\tmpac41.tmp
- %TEMP%\tmpac40.tmp
- %TEMP%\tmpac98.tmp
- %TEMP%\tmpac2f.tmp
- %TEMP%\tmpac2d.tmp
- %TEMP%\tmpac1d.tmp
- %TEMP%\tmpac0c.tmp
- %TEMP%\tmpac0b.tmp
- %TEMP%\tmpac0a.tmp
- %TEMP%\tmpabf9.tmp
- %TEMP%\tmpab9b.tmp
- %TEMP%\tmpab8a.tmp
- %APPDATA%\gfersesurity\geo.txt
- %APPDATA%\gfersesurity\bestofd.exe
- %TEMP%\tmpac2e.tmp
- %TEMP%\tmpacf4.tmp
- %TEMP%\tmpad3e.tmp
- %TEMP%\tmpacaa.tmp
- %TEMP%\tmpad2e.tmp
- %TEMP%\tmpad2d.tmp
- %TEMP%\tmpad2c.tmp
- %TEMP%\tmpad2b.tmp
- %TEMP%\tmpad1a.tmp
- %TEMP%\tmpad19.tmp
- %TEMP%\tmpad18.tmp
- %TEMP%\tmpad07.tmp
- %TEMP%\tmpad06.tmp
- %TEMP%\tmpacf6.tmp
- %TEMP%\tmpad3f.tmp
- %TEMP%\tmpacf5.tmp
- %TEMP%\tmpacf3.tmp
- %TEMP%\tmpace2.tmp
- %TEMP%\tmpace1.tmp
- %TEMP%\tmpace0.tmp
- %TEMP%\tmpacd0.tmp
- %TEMP%\tmpaccf.tmp
- %TEMP%\tmpacce.tmp
- %TEMP%\tmpaccd.tmp
- %TEMP%\tmpacbc.tmp
- %TEMP%\tmpacab.tmp
- %TEMP%\tmpac99.tmp
- %TEMP%\tmpaeab.tmp
Удаляет следующие файлы
- %TEMP%\tmpab9b.tmp
- %TEMP%\tmpad8a.tmp
- %TEMP%\tmpad9b.tmp
- %TEMP%\tmpad9d.tmp
- %TEMP%\tmpadaf.tmp
- %TEMP%\tmpadb1.tmp
- %TEMP%\tmpadb3.tmp
- %TEMP%\tmpadc4.tmp
- %TEMP%\tmpadc6.tmp
- %TEMP%\tmpadd8.tmp
- %TEMP%\tmpad76.tmp
- %TEMP%\tmpad78.tmp
- %TEMP%\tmpadda.tmp
- %TEMP%\tmpadff.tmp
- %TEMP%\tmpae01.tmp
- %TEMP%\tmpae03.tmp
- %TEMP%\tmpae44.tmp
- %TEMP%\tmpae46.tmp
- %TEMP%\tmpae57.tmp
- %TEMP%\tmpae59.tmp
- %TEMP%\tmpae6a.tmp
- %TEMP%\tmpae7a.tmp
- %TEMP%\tmpadec.tmp
- %TEMP%\tmpadee.tmp
- %TEMP%\tmpad64.tmp
- %TEMP%\tmpad62.tmp
- %TEMP%\tmpad51.tmp
- %TEMP%\tmpac0c.tmp
- %TEMP%\tmpac2d.tmp
- %TEMP%\tmpac2f.tmp
- %TEMP%\tmpac41.tmp
- %TEMP%\tmpac52.tmp
- %TEMP%\tmpac64.tmp
- %TEMP%\tmpac76.tmp
- %TEMP%\tmpac87.tmp
- %TEMP%\tmpac99.tmp
- %TEMP%\tmpacaa.tmp
- %TEMP%\tmpac0a.tmp
- %TEMP%\tmpacbc.tmp
- %TEMP%\tmpacd0.tmp
- %TEMP%\tmpace1.tmp
- %TEMP%\tmpacf3.tmp
- %TEMP%\tmpacf5.tmp
- %TEMP%\tmpad06.tmp
- %TEMP%\tmpad18.tmp
- %TEMP%\tmpad1a.tmp
- %TEMP%\tmpad2c.tmp
- %TEMP%\tmpad2e.tmp
- %TEMP%\tmpad3f.tmp
- %TEMP%\tmpacce.tmp
- %TEMP%\tmpae9b.tmp
- %TEMP%\tmpaeab.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://gf###rolklm.top/bestof/gfers.exe
- http://gf###rolklm.top/bestof/gfersd.exe
- http://ip##pi.com/line/
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://18#.###.113.139:35200/IRemotePanel via 18#.#19.113.139
UDP
- DNS ASK ip###ger.org
- DNS ASK gf###rolklm.top
- DNS ASK ip##pi.com
- DNS ASK a.##uptm.ru
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\gfersesurity\bestof.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
