Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpbd55.tmp
- %TEMP%\tmpbf81.tmp
- %TEMP%\tmpbf80.tmp
- %TEMP%\tmpbf7f.tmp
- %TEMP%\tmpbf7e.tmp
- %TEMP%\tmpbf6d.tmp
- %TEMP%\tmpbf6c.tmp
- %TEMP%\tmpbf6b.tmp
- %TEMP%\tmpbf5b.tmp
- %TEMP%\tmpbf5a.tmp
- %TEMP%\tmpbf59.tmp
- %TEMP%\tmpbf58.tmp
- %TEMP%\tmpbf47.tmp
- %TEMP%\tmpbf46.tmp
- %TEMP%\tmpbf45.tmp
- %TEMP%\tmpbf35.tmp
- %TEMP%\tmpbf34.tmp
- %TEMP%\tmpbf33.tmp
- %TEMP%\tmpbf32.tmp
- %TEMP%\tmpbf21.tmp
- %TEMP%\tmpbf20.tmp
- %TEMP%\tmpbf1f.tmp
- %TEMP%\tmpbf92.tmp
- %TEMP%\tmpbf93.tmp
- %TEMP%\tmpbf94.tmp
- %TEMP%\tmpbf95.tmp
- %TEMP%\tmpc027.tmp
- %TEMP%\tmpc007.tmp
- %TEMP%\tmpbff7.tmp
- %TEMP%\tmpbfe6.tmp
- %TEMP%\tmpbfe5.tmp
- %TEMP%\tmpbfe4.tmp
- %TEMP%\tmpbfe3.tmp
- %TEMP%\tmpbfd2.tmp
- %TEMP%\tmpbfd1.tmp
- %TEMP%\tmpbfd0.tmp
- %TEMP%\tmpbfbf.tmp
- %TEMP%\tmpbfc0.tmp
- %TEMP%\tmpbfbe.tmp
- %TEMP%\tmpbfbd.tmp
- %TEMP%\tmpbfbc.tmp
- %TEMP%\tmpbfab.tmp
- %TEMP%\tmpbfaa.tmp
- %TEMP%\tmpbfa9.tmp
- %TEMP%\tmpbfa8.tmp
- %TEMP%\tmpbfa7.tmp
- %TEMP%\tmpbfa6.tmp
- %TEMP%\tmpbf96.tmp
- %TEMP%\tmpc028.tmp
- %TEMP%\tmpbf1e.tmp
- %TEMP%\tmpbf0d.tmp
- %TEMP%\tmpbf0c.tmp
- %TEMP%\tmpbe54.tmp
- %TEMP%\tmpbe44.tmp
- %TEMP%\tmpbe43.tmp
- %TEMP%\tmpbe32.tmp
- %TEMP%\tmpbe31.tmp
- %TEMP%\tmpbe30.tmp
- %TEMP%\tmpbe20.tmp
- %TEMP%\tmpbe1f.tmp
- %TEMP%\tmpbe1e.tmp
- %TEMP%\tmpbdfd.tmp
- %TEMP%\tmpbdfc.tmp
- %TEMP%\tmpbdec.tmp
- %TEMP%\tmpbdeb.tmp
- %TEMP%\tmpbdda.tmp
- %TEMP%\tmpbdd9.tmp
- %TEMP%\tmpbdc9.tmp
- %TEMP%\tmpbdc8.tmp
- %TEMP%\tmpbdb7.tmp
- %TEMP%\tmpbdb6.tmp
- %TEMP%\tmpbdb5.tmp
- %TEMP%\tmpbd66.tmp
- %TEMP%\tmpbe55.tmp
- %TEMP%\tmpbe56.tmp
- %TEMP%\tmpbe67.tmp
- %TEMP%\tmpbe68.tmp
- %TEMP%\tmpbefb.tmp
- %TEMP%\tmpbefa.tmp
- %TEMP%\tmpbef9.tmp
- %TEMP%\tmpbee8.tmp
- %TEMP%\tmpbee7.tmp
- %TEMP%\tmpbee6.tmp
- %TEMP%\tmpbed6.tmp
- %TEMP%\tmpbed5.tmp
- %TEMP%\tmpbed4.tmp
- %TEMP%\tmpbec3.tmp
- %TEMP%\tmpbeb1.tmp
- %TEMP%\tmpbec2.tmp
- %TEMP%\tmpbeb0.tmp
- %TEMP%\tmpbeaf.tmp
- %TEMP%\tmpbe9f.tmp
- %TEMP%\tmpbe9e.tmp
- %TEMP%\tmpbe8d.tmp
- %TEMP%\tmpbe8c.tmp
- %TEMP%\tmpbe8b.tmp
- %TEMP%\tmpbe7b.tmp
- %TEMP%\tmpbe6a.tmp
- %TEMP%\tmpbe69.tmp
- %TEMP%\tmpbf0b.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpbd66.tmp
- %TEMP%\tmpbf45.tmp
- %TEMP%\tmpbf47.tmp
- %TEMP%\tmpbf59.tmp
- %TEMP%\tmpbf5b.tmp
- %TEMP%\tmpbf6c.tmp
- %TEMP%\tmpbf7e.tmp
- %TEMP%\tmpbf80.tmp
- %TEMP%\tmpbf92.tmp
- %TEMP%\tmpbf94.tmp
- %TEMP%\tmpbf32.tmp
- %TEMP%\tmpbf34.tmp
- %TEMP%\tmpbf96.tmp
- %TEMP%\tmpbfab.tmp
- %TEMP%\tmpbfbd.tmp
- %TEMP%\tmpbfbf.tmp
- %TEMP%\tmpbfd0.tmp
- %TEMP%\tmpbfd2.tmp
- %TEMP%\tmpbfe4.tmp
- %TEMP%\tmpbfe6.tmp
- %TEMP%\tmpbff7.tmp
- %TEMP%\tmpc007.tmp
- %TEMP%\tmpbfa7.tmp
- %TEMP%\tmpbfa9.tmp
- %TEMP%\tmpbf20.tmp
- %TEMP%\tmpbf1e.tmp
- %TEMP%\tmpbf0c.tmp
- %TEMP%\tmpbdc8.tmp
- %TEMP%\tmpbdd9.tmp
- %TEMP%\tmpbdeb.tmp
- %TEMP%\tmpbdfc.tmp
- %TEMP%\tmpbe1e.tmp
- %TEMP%\tmpbe20.tmp
- %TEMP%\tmpbe31.tmp
- %TEMP%\tmpbe43.tmp
- %TEMP%\tmpbe54.tmp
- %TEMP%\tmpbe56.tmp
- %TEMP%\tmpbdb6.tmp
- %TEMP%\tmpbe68.tmp
- %TEMP%\tmpbe8b.tmp
- %TEMP%\tmpbe8d.tmp
- %TEMP%\tmpbe9f.tmp
- %TEMP%\tmpbeb0.tmp
- %TEMP%\tmpbec2.tmp
- %TEMP%\tmpbed4.tmp
- %TEMP%\tmpbed6.tmp
- %TEMP%\tmpbee7.tmp
- %TEMP%\tmpbef9.tmp
- %TEMP%\tmpbefb.tmp
- %TEMP%\tmpbe6a.tmp
- %TEMP%\tmpc027.tmp
- %TEMP%\tmpc028.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://93.##4.128.121/IRemotePanel
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
