Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpb07a.tmp
- %TEMP%\tmpb248.tmp
- %TEMP%\tmpb247.tmp
- %TEMP%\tmpb246.tmp
- %TEMP%\tmpb235.tmp
- %TEMP%\tmpb234.tmp
- %TEMP%\tmpb233.tmp
- %TEMP%\tmpb232.tmp
- %TEMP%\tmpb222.tmp
- %TEMP%\tmpb221.tmp
- %TEMP%\tmpb220.tmp
- %TEMP%\tmpb21f.tmp
- %TEMP%\tmpb20e.tmp
- %TEMP%\tmpb20d.tmp
- %TEMP%\tmpb20c.tmp
- %TEMP%\tmpb20b.tmp
- %TEMP%\tmpb20a.tmp
- %TEMP%\tmpb209.tmp
- %TEMP%\tmpb1f8.tmp
- %TEMP%\tmpb1f7.tmp
- %TEMP%\tmpb1f6.tmp
- %TEMP%\tmpb1f5.tmp
- %TEMP%\tmpb249.tmp
- %TEMP%\tmpb24a.tmp
- %TEMP%\tmpb24b.tmp
- %TEMP%\tmpb25b.tmp
- %TEMP%\tmpb2df.tmp
- %TEMP%\tmpb2ce.tmp
- %TEMP%\tmpb2bd.tmp
- %TEMP%\tmpb2ad.tmp
- %TEMP%\tmpb2ac.tmp
- %TEMP%\tmpb2ab.tmp
- %TEMP%\tmpb2aa.tmp
- %TEMP%\tmpb299.tmp
- %TEMP%\tmpb298.tmp
- %TEMP%\tmpb297.tmp
- %TEMP%\tmpb295.tmp
- %TEMP%\tmpb296.tmp
- %TEMP%\tmpb285.tmp
- %TEMP%\tmpb284.tmp
- %TEMP%\tmpb283.tmp
- %TEMP%\tmpb282.tmp
- %TEMP%\tmpb281.tmp
- %TEMP%\tmpb280.tmp
- %TEMP%\tmpb27f.tmp
- %TEMP%\tmpb27e.tmp
- %TEMP%\tmpb27d.tmp
- %TEMP%\tmpb25c.tmp
- %TEMP%\tmpb2ef.tmp
- %TEMP%\tmpb1e5.tmp
- %TEMP%\tmpb1e4.tmp
- %TEMP%\tmpb1e3.tmp
- %TEMP%\tmpb13a.tmp
- %TEMP%\tmpb139.tmp
- %TEMP%\tmpb129.tmp
- %TEMP%\tmpb128.tmp
- %TEMP%\tmpb117.tmp
- %TEMP%\tmpb116.tmp
- %TEMP%\tmpb115.tmp
- %TEMP%\tmpb105.tmp
- %TEMP%\tmpb104.tmp
- %TEMP%\tmpb103.tmp
- %TEMP%\tmpb0f2.tmp
- %TEMP%\tmpb0f1.tmp
- %TEMP%\tmpb0f0.tmp
- %TEMP%\tmpb0ef.tmp
- %TEMP%\tmpb0de.tmp
- %TEMP%\tmpb0dd.tmp
- %TEMP%\tmpb0cd.tmp
- %TEMP%\tmpb0cc.tmp
- %TEMP%\tmpb0cb.tmp
- %TEMP%\tmpb0ba.tmp
- %TEMP%\tmpb08a.tmp
- %TEMP%\tmpb13b.tmp
- %TEMP%\tmpb14c.tmp
- %TEMP%\tmpb14d.tmp
- %TEMP%\tmpb15e.tmp
- %TEMP%\tmpb1d1.tmp
- %TEMP%\tmpb1d0.tmp
- %TEMP%\tmpb1cf.tmp
- %TEMP%\tmpb1bf.tmp
- %TEMP%\tmpb1be.tmp
- %TEMP%\tmpb1bd.tmp
- %TEMP%\tmpb1ac.tmp
- %TEMP%\tmpb1ab.tmp
- %TEMP%\tmpb1aa.tmp
- %TEMP%\tmpb1a9.tmp
- %TEMP%\tmpb197.tmp
- %TEMP%\tmpb198.tmp
- %TEMP%\tmpb196.tmp
- %TEMP%\tmpb186.tmp
- %TEMP%\tmpb185.tmp
- %TEMP%\tmpb184.tmp
- %TEMP%\tmpb183.tmp
- %TEMP%\tmpb172.tmp
- %TEMP%\tmpb171.tmp
- %TEMP%\tmpb170.tmp
- %TEMP%\tmpb16f.tmp
- %TEMP%\tmpb15f.tmp
- %TEMP%\tmpb1e2.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpb08a.tmp
- %TEMP%\tmpb20c.tmp
- %TEMP%\tmpb20e.tmp
- %TEMP%\tmpb220.tmp
- %TEMP%\tmpb222.tmp
- %TEMP%\tmpb233.tmp
- %TEMP%\tmpb235.tmp
- %TEMP%\tmpb247.tmp
- %TEMP%\tmpb249.tmp
- %TEMP%\tmpb24b.tmp
- %TEMP%\tmpb1f8.tmp
- %TEMP%\tmpb20a.tmp
- %TEMP%\tmpb25c.tmp
- %TEMP%\tmpb282.tmp
- %TEMP%\tmpb284.tmp
- %TEMP%\tmpb295.tmp
- %TEMP%\tmpb297.tmp
- %TEMP%\tmpb299.tmp
- %TEMP%\tmpb2ab.tmp
- %TEMP%\tmpb2ad.tmp
- %TEMP%\tmpb2bd.tmp
- %TEMP%\tmpb2ce.tmp
- %TEMP%\tmpb27e.tmp
- %TEMP%\tmpb280.tmp
- %TEMP%\tmpb1f6.tmp
- %TEMP%\tmpb1e5.tmp
- %TEMP%\tmpb1e3.tmp
- %TEMP%\tmpb0cd.tmp
- %TEMP%\tmpb0de.tmp
- %TEMP%\tmpb0f0.tmp
- %TEMP%\tmpb0f2.tmp
- %TEMP%\tmpb104.tmp
- %TEMP%\tmpb115.tmp
- %TEMP%\tmpb117.tmp
- %TEMP%\tmpb129.tmp
- %TEMP%\tmpb13a.tmp
- %TEMP%\tmpb14c.tmp
- %TEMP%\tmpb0cb.tmp
- %TEMP%\tmpb15e.tmp
- %TEMP%\tmpb171.tmp
- %TEMP%\tmpb183.tmp
- %TEMP%\tmpb185.tmp
- %TEMP%\tmpb196.tmp
- %TEMP%\tmpb198.tmp
- %TEMP%\tmpb1aa.tmp
- %TEMP%\tmpb1ac.tmp
- %TEMP%\tmpb1be.tmp
- %TEMP%\tmpb1cf.tmp
- %TEMP%\tmpb1d1.tmp
- %TEMP%\tmpb16f.tmp
- %TEMP%\tmpb2df.tmp
- %TEMP%\tmpb2ef.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://el###itie.xyz/IRemotePanel
UDP
- DNS ASK el###itie.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
