Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp77ed.tmp
- %TEMP%\tmp79fa.tmp
- %TEMP%\tmp79f9.tmp
- %TEMP%\tmp79f8.tmp
- %TEMP%\tmp79e8.tmp
- %TEMP%\tmp79e7.tmp
- %TEMP%\tmp79e6.tmp
- %TEMP%\tmp79e5.tmp
- %TEMP%\tmp79d4.tmp
- %TEMP%\tmp79d3.tmp
- %TEMP%\tmp79d2.tmp
- %TEMP%\tmp79d1.tmp
- %TEMP%\tmp79d0.tmp
- %TEMP%\tmp79bf.tmp
- %TEMP%\tmp79be.tmp
- %TEMP%\tmp79bd.tmp
- %TEMP%\tmp79ad.tmp
- %TEMP%\tmp79ac.tmp
- %TEMP%\tmp79ab.tmp
- %TEMP%\tmp79aa.tmp
- %TEMP%\tmp79a9.tmp
- %TEMP%\tmp7998.tmp
- %TEMP%\tmp7996.tmp
- %TEMP%\tmp7997.tmp
- %TEMP%\tmp79fb.tmp
- %TEMP%\tmp7a0c.tmp
- %TEMP%\tmp7a70.tmp
- %TEMP%\tmp7a5f.tmp
- %TEMP%\tmp7a5e.tmp
- %TEMP%\tmp7a5d.tmp
- %TEMP%\tmp7a4d.tmp
- %TEMP%\tmp7a4c.tmp
- %TEMP%\tmp7a4b.tmp
- %TEMP%\tmp7a4a.tmp
- %TEMP%\tmp7a49.tmp
- %TEMP%\tmp7a38.tmp
- %TEMP%\tmp7a36.tmp
- %TEMP%\tmp7939.tmp
- %TEMP%\tmp7a35.tmp
- %TEMP%\tmp7a34.tmp
- %TEMP%\tmp7a23.tmp
- %TEMP%\tmp7a22.tmp
- %TEMP%\tmp7a21.tmp
- %TEMP%\tmp7a20.tmp
- %TEMP%\tmp7a10.tmp
- %TEMP%\tmp7a0f.tmp
- %TEMP%\tmp7a0e.tmp
- %TEMP%\tmp7a0d.tmp
- %TEMP%\tmp7995.tmp
- %TEMP%\tmp7985.tmp
- %TEMP%\tmp7984.tmp
- %TEMP%\tmp78ac.tmp
- %TEMP%\tmp789c.tmp
- %TEMP%\tmp789b.tmp
- %TEMP%\tmp789a.tmp
- %TEMP%\tmp7899.tmp
- %TEMP%\tmp7888.tmp
- %TEMP%\tmp7887.tmp
- %TEMP%\tmp7886.tmp
- %TEMP%\tmp7876.tmp
- %TEMP%\tmp7865.tmp
- %TEMP%\tmp7864.tmp
- %TEMP%\tmp7863.tmp
- %TEMP%\tmp7852.tmp
- %TEMP%\tmp7851.tmp
- %TEMP%\tmp7841.tmp
- %TEMP%\tmp7840.tmp
- %TEMP%\tmp782f.tmp
- %TEMP%\tmp782e.tmp
- %TEMP%\tmp782d.tmp
- %TEMP%\tmp77ee.tmp
- %TEMP%\tmp78ae.tmp
- %TEMP%\tmp78bf.tmp
- %TEMP%\tmp78ad.tmp
- %TEMP%\tmp78d0.tmp
- %TEMP%\tmp7983.tmp
- %TEMP%\tmp78d1.tmp
- %TEMP%\tmp7972.tmp
- %TEMP%\tmp7971.tmp
- %TEMP%\tmp7960.tmp
- %TEMP%\tmp795f.tmp
- %TEMP%\tmp795e.tmp
- %TEMP%\tmp795d.tmp
- %TEMP%\tmp795c.tmp
- %TEMP%\tmp794c.tmp
- %TEMP%\tmp794b.tmp
- %TEMP%\tmp7a37.tmp
- %TEMP%\tmp7a90.tmp
- %TEMP%\tmp7938.tmp
- %TEMP%\tmp7928.tmp
- %TEMP%\tmp7927.tmp
- %TEMP%\tmp7926.tmp
- %TEMP%\tmp7925.tmp
- %TEMP%\tmp7914.tmp
- %TEMP%\tmp7903.tmp
- %TEMP%\tmp78d4.tmp
- %TEMP%\tmp78d3.tmp
- %TEMP%\tmp78d2.tmp
- %TEMP%\tmp794a.tmp
- %TEMP%\tmp7a91.tmp
Удаляет следующие файлы
- %TEMP%\tmp77ee.tmp
- %TEMP%\tmp79bd.tmp
- %TEMP%\tmp79bf.tmp
- %TEMP%\tmp79d1.tmp
- %TEMP%\tmp79d3.tmp
- %TEMP%\tmp79e5.tmp
- %TEMP%\tmp79e7.tmp
- %TEMP%\tmp79f8.tmp
- %TEMP%\tmp79fa.tmp
- %TEMP%\tmp7a0c.tmp
- %TEMP%\tmp79aa.tmp
- %TEMP%\tmp79ac.tmp
- %TEMP%\tmp7a0e.tmp
- %TEMP%\tmp7a23.tmp
- %TEMP%\tmp7a35.tmp
- %TEMP%\tmp7a37.tmp
- %TEMP%\tmp7a49.tmp
- %TEMP%\tmp7a4b.tmp
- %TEMP%\tmp7a4d.tmp
- %TEMP%\tmp7a5e.tmp
- %TEMP%\tmp7a5f.tmp
- %TEMP%\tmp7a70.tmp
- %TEMP%\tmp7a10.tmp
- %TEMP%\tmp7a21.tmp
- %TEMP%\tmp7998.tmp
- %TEMP%\tmp7996.tmp
- %TEMP%\tmp7985.tmp
- %TEMP%\tmp7840.tmp
- %TEMP%\tmp7851.tmp
- %TEMP%\tmp7863.tmp
- %TEMP%\tmp7865.tmp
- %TEMP%\tmp7886.tmp
- %TEMP%\tmp7888.tmp
- %TEMP%\tmp789a.tmp
- %TEMP%\tmp789c.tmp
- %TEMP%\tmp78ad.tmp
- %TEMP%\tmp78bf.tmp
- %TEMP%\tmp782e.tmp
- %TEMP%\tmp78d1.tmp
- %TEMP%\tmp7903.tmp
- %TEMP%\tmp7925.tmp
- %TEMP%\tmp7927.tmp
- %TEMP%\tmp7938.tmp
- %TEMP%\tmp794a.tmp
- %TEMP%\tmp794c.tmp
- %TEMP%\tmp795d.tmp
- %TEMP%\tmp795f.tmp
- %TEMP%\tmp7971.tmp
- %TEMP%\tmp7983.tmp
- %TEMP%\tmp78d3.tmp
- %TEMP%\tmp7a90.tmp
- %TEMP%\tmp7a91.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://3.###.34.72:35200/IRemotePanel via 3.##0.34.72
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
