Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpae67.tmp
- %TEMP%\tmpb027.tmp
- %TEMP%\tmpb026.tmp
- %TEMP%\tmpb025.tmp
- %TEMP%\tmpb024.tmp
- %TEMP%\tmpb023.tmp
- %TEMP%\tmpb012.tmp
- %TEMP%\tmpb011.tmp
- %TEMP%\tmpb010.tmp
- %TEMP%\tmpb00f.tmp
- %TEMP%\tmpb00e.tmp
- %TEMP%\tmpb00d.tmp
- %TEMP%\tmpaffd.tmp
- %TEMP%\tmpaffc.tmp
- %TEMP%\tmpaffb.tmp
- %TEMP%\tmpaffa.tmp
- %TEMP%\tmpafe9.tmp
- %TEMP%\tmpafe8.tmp
- %TEMP%\tmpafe7.tmp
- %TEMP%\tmpafe6.tmp
- %TEMP%\tmpafe5.tmp
- %TEMP%\tmpafd4.tmp
- %TEMP%\tmpafd2.tmp
- %TEMP%\tmpafd3.tmp
- %TEMP%\tmpb037.tmp
- %TEMP%\tmpb038.tmp
- %TEMP%\tmpb09c.tmp
- %TEMP%\tmpb08c.tmp
- %TEMP%\tmpb08b.tmp
- %TEMP%\tmpb08a.tmp
- %TEMP%\tmpb089.tmp
- %TEMP%\tmpb078.tmp
- %TEMP%\tmpb077.tmp
- %TEMP%\tmpb076.tmp
- %TEMP%\tmpb066.tmp
- %TEMP%\tmpb065.tmp
- %TEMP%\tmpb063.tmp
- %TEMP%\tmpaf85.tmp
- %TEMP%\tmpb062.tmp
- %TEMP%\tmpb051.tmp
- %TEMP%\tmpb050.tmp
- %TEMP%\tmpb04f.tmp
- %TEMP%\tmpb04e.tmp
- %TEMP%\tmpb04d.tmp
- %TEMP%\tmpb03c.tmp
- %TEMP%\tmpb03b.tmp
- %TEMP%\tmpb03a.tmp
- %TEMP%\tmpb039.tmp
- %TEMP%\tmpafd1.tmp
- %TEMP%\tmpafd0.tmp
- %TEMP%\tmpafcf.tmp
- %TEMP%\tmpaf27.tmp
- %TEMP%\tmpaf26.tmp
- %TEMP%\tmpaf25.tmp
- %TEMP%\tmpaf24.tmp
- %TEMP%\tmpaf13.tmp
- %TEMP%\tmpaf12.tmp
- %TEMP%\tmpaf11.tmp
- %TEMP%\tmpaf01.tmp
- %TEMP%\tmpaf00.tmp
- %TEMP%\tmpaeff.tmp
- %TEMP%\tmpaedf.tmp
- %TEMP%\tmpaede.tmp
- %TEMP%\tmpaedd.tmp
- %TEMP%\tmpaecc.tmp
- %TEMP%\tmpaecb.tmp
- %TEMP%\tmpaeba.tmp
- %TEMP%\tmpaeb9.tmp
- %TEMP%\tmpaeb8.tmp
- %TEMP%\tmpaeb7.tmp
- %TEMP%\tmpae78.tmp
- %TEMP%\tmpaf39.tmp
- %TEMP%\tmpaf3a.tmp
- %TEMP%\tmpaf38.tmp
- %TEMP%\tmpaf3b.tmp
- %TEMP%\tmpafbf.tmp
- %TEMP%\tmpaf4b.tmp
- %TEMP%\tmpafbe.tmp
- %TEMP%\tmpafbd.tmp
- %TEMP%\tmpafac.tmp
- %TEMP%\tmpafab.tmp
- %TEMP%\tmpafaa.tmp
- %TEMP%\tmpafa9.tmp
- %TEMP%\tmpaf99.tmp
- %TEMP%\tmpaf98.tmp
- %TEMP%\tmpaf97.tmp
- %TEMP%\tmpb064.tmp
- %TEMP%\tmpb0bd.tmp
- %TEMP%\tmpaf84.tmp
- %TEMP%\tmpaf73.tmp
- %TEMP%\tmpaf72.tmp
- %TEMP%\tmpaf71.tmp
- %TEMP%\tmpaf61.tmp
- %TEMP%\tmpaf60.tmp
- %TEMP%\tmpaf5f.tmp
- %TEMP%\tmpaf4e.tmp
- %TEMP%\tmpaf4d.tmp
- %TEMP%\tmpaf4c.tmp
- %TEMP%\tmpaf86.tmp
- %TEMP%\tmpb0be.tmp
Удаляет следующие файлы
- %TEMP%\tmpae78.tmp
- %TEMP%\tmpaffa.tmp
- %TEMP%\tmpaffc.tmp
- %TEMP%\tmpb00d.tmp
- %TEMP%\tmpb00f.tmp
- %TEMP%\tmpb011.tmp
- %TEMP%\tmpb023.tmp
- %TEMP%\tmpb025.tmp
- %TEMP%\tmpb027.tmp
- %TEMP%\tmpb038.tmp
- %TEMP%\tmpafe6.tmp
- %TEMP%\tmpafe8.tmp
- %TEMP%\tmpb03a.tmp
- %TEMP%\tmpb050.tmp
- %TEMP%\tmpb062.tmp
- %TEMP%\tmpb064.tmp
- %TEMP%\tmpb066.tmp
- %TEMP%\tmpb077.tmp
- %TEMP%\tmpb089.tmp
- %TEMP%\tmpb08b.tmp
- %TEMP%\tmpb08c.tmp
- %TEMP%\tmpb09c.tmp
- %TEMP%\tmpb03c.tmp
- %TEMP%\tmpb04e.tmp
- %TEMP%\tmpafd4.tmp
- %TEMP%\tmpafd2.tmp
- %TEMP%\tmpafd0.tmp
- %TEMP%\tmpaeba.tmp
- %TEMP%\tmpaecc.tmp
- %TEMP%\tmpaede.tmp
- %TEMP%\tmpaeff.tmp
- %TEMP%\tmpaf01.tmp
- %TEMP%\tmpaf12.tmp
- %TEMP%\tmpaf24.tmp
- %TEMP%\tmpaf26.tmp
- %TEMP%\tmpaf38.tmp
- %TEMP%\tmpaf3a.tmp
- %TEMP%\tmpaeb8.tmp
- %TEMP%\tmpaf4b.tmp
- %TEMP%\tmpaf5f.tmp
- %TEMP%\tmpaf61.tmp
- %TEMP%\tmpaf72.tmp
- %TEMP%\tmpaf84.tmp
- %TEMP%\tmpaf86.tmp
- %TEMP%\tmpaf98.tmp
- %TEMP%\tmpafa9.tmp
- %TEMP%\tmpafab.tmp
- %TEMP%\tmpafbd.tmp
- %TEMP%\tmpafbf.tmp
- %TEMP%\tmpaf4d.tmp
- %TEMP%\tmpb0bd.tmp
- %TEMP%\tmpb0be.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://ut##y.xyz/IRemotePanel
UDP
- DNS ASK ut##y.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
