Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpda28.tmp
- %TEMP%\tmpdcc1.tmp
- %TEMP%\tmpdcc0.tmp
- %TEMP%\tmpdcbf.tmp
- %TEMP%\tmpdcbe.tmp
- %TEMP%\tmpdcad.tmp
- %TEMP%\tmpdcac.tmp
- %TEMP%\tmpdc9c.tmp
- %TEMP%\tmpdc8b.tmp
- %TEMP%\tmpdc8a.tmp
- %TEMP%\tmpdc89.tmp
- %TEMP%\tmpdc79.tmp
- %TEMP%\tmpdc78.tmp
- %TEMP%\tmpdc67.tmp
- %TEMP%\tmpdc66.tmp
- %TEMP%\tmpdc55.tmp
- %TEMP%\tmpdc54.tmp
- %TEMP%\tmpdc53.tmp
- %TEMP%\tmpdc43.tmp
- %TEMP%\tmpdc42.tmp
- %TEMP%\tmpdc31.tmp
- %TEMP%\tmpdc30.tmp
- %TEMP%\tmpdcd2.tmp
- %TEMP%\tmpdcd3.tmp
- %TEMP%\tmpdcd4.tmp
- %TEMP%\tmpdcd5.tmp
- %TEMP%\tmpddd5.tmp
- %TEMP%\tmpdda5.tmp
- %TEMP%\tmpdd56.tmp
- %TEMP%\tmpdd45.tmp
- %TEMP%\tmpdd44.tmp
- %TEMP%\tmpdd43.tmp
- %TEMP%\tmpdd33.tmp
- %TEMP%\tmpdd32.tmp
- %TEMP%\tmpdd31.tmp
- %TEMP%\tmpdd30.tmp
- %TEMP%\tmpdd1e.tmp
- %TEMP%\tmpdd1f.tmp
- %TEMP%\tmpdd1d.tmp
- %TEMP%\tmpdd0c.tmp
- %TEMP%\tmpdd0b.tmp
- %TEMP%\tmpdcfb.tmp
- %TEMP%\tmpdcfa.tmp
- %TEMP%\tmpdcf9.tmp
- %TEMP%\tmpdce8.tmp
- %TEMP%\tmpdce7.tmp
- %TEMP%\tmpdce6.tmp
- %TEMP%\tmpdce5.tmp
- %TEMP%\tmpdde5.tmp
- %TEMP%\tmpdc2f.tmp
- %TEMP%\tmpdc2e.tmp
- %TEMP%\tmpdc1e.tmp
- %TEMP%\tmpdb37.tmp
- %TEMP%\tmpdb26.tmp
- %TEMP%\tmpdb25.tmp
- %TEMP%\tmpdb15.tmp
- %TEMP%\tmpdb14.tmp
- %TEMP%\tmpdb03.tmp
- %TEMP%\tmpdb02.tmp
- %TEMP%\tmpdb01.tmp
- %TEMP%\tmpdaf0.tmp
- %TEMP%\tmpdaef.tmp
- %TEMP%\tmpdacf.tmp
- %TEMP%\tmpdace.tmp
- %TEMP%\tmpdacd.tmp
- %TEMP%\tmpdabd.tmp
- %TEMP%\tmpdaac.tmp
- %TEMP%\tmpdaab.tmp
- %TEMP%\tmpda9a.tmp
- %TEMP%\tmpda8a.tmp
- %TEMP%\tmpda89.tmp
- %TEMP%\tmpda88.tmp
- %TEMP%\tmpda39.tmp
- %TEMP%\tmpdb38.tmp
- %TEMP%\tmpdb39.tmp
- %TEMP%\tmpdb49.tmp
- %TEMP%\tmpdb4a.tmp
- %TEMP%\tmpdc0c.tmp
- %TEMP%\tmpdbfb.tmp
- %TEMP%\tmpdbfa.tmp
- %TEMP%\tmpdbf9.tmp
- %TEMP%\tmpdbe9.tmp
- %TEMP%\tmpdbe8.tmp
- %TEMP%\tmpdbe7.tmp
- %TEMP%\tmpdbd6.tmp
- %TEMP%\tmpdbd5.tmp
- %TEMP%\tmpdbd4.tmp
- %TEMP%\tmpdbc3.tmp
- %TEMP%\tmpdbc4.tmp
- %TEMP%\tmpdbc2.tmp
- %TEMP%\tmpdba1.tmp
- %TEMP%\tmpdba0.tmp
- %TEMP%\tmpdb90.tmp
- %TEMP%\tmpdb7f.tmp
- %TEMP%\tmpdb7e.tmp
- %TEMP%\tmpdb6e.tmp
- %TEMP%\tmpdb5d.tmp
- %TEMP%\tmpdb5c.tmp
- %TEMP%\tmpdb5b.tmp
- %TEMP%\tmpdc1d.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpda39.tmp
- %TEMP%\tmpdc66.tmp
- %TEMP%\tmpdc78.tmp
- %TEMP%\tmpdc89.tmp
- %TEMP%\tmpdc8b.tmp
- %TEMP%\tmpdcac.tmp
- %TEMP%\tmpdcbe.tmp
- %TEMP%\tmpdcc0.tmp
- %TEMP%\tmpdcd2.tmp
- %TEMP%\tmpdcd4.tmp
- %TEMP%\tmpdc43.tmp
- %TEMP%\tmpdc54.tmp
- %TEMP%\tmpdce5.tmp
- %TEMP%\tmpdcfb.tmp
- %TEMP%\tmpdd0c.tmp
- %TEMP%\tmpdd1e.tmp
- %TEMP%\tmpdd30.tmp
- %TEMP%\tmpdd32.tmp
- %TEMP%\tmpdd43.tmp
- %TEMP%\tmpdd45.tmp
- %TEMP%\tmpdd56.tmp
- %TEMP%\tmpdda5.tmp
- %TEMP%\tmpdce7.tmp
- %TEMP%\tmpdcf9.tmp
- %TEMP%\tmpdc31.tmp
- %TEMP%\tmpdc2f.tmp
- %TEMP%\tmpdc1e.tmp
- %TEMP%\tmpda9a.tmp
- %TEMP%\tmpdaac.tmp
- %TEMP%\tmpdacd.tmp
- %TEMP%\tmpdacf.tmp
- %TEMP%\tmpdaf0.tmp
- %TEMP%\tmpdb02.tmp
- %TEMP%\tmpdb14.tmp
- %TEMP%\tmpdb25.tmp
- %TEMP%\tmpdb37.tmp
- %TEMP%\tmpdb39.tmp
- %TEMP%\tmpda89.tmp
- %TEMP%\tmpdb4a.tmp
- %TEMP%\tmpdb6e.tmp
- %TEMP%\tmpdb7f.tmp
- %TEMP%\tmpdba0.tmp
- %TEMP%\tmpdbc2.tmp
- %TEMP%\tmpdbc4.tmp
- %TEMP%\tmpdbd5.tmp
- %TEMP%\tmpdbe7.tmp
- %TEMP%\tmpdbe9.tmp
- %TEMP%\tmpdbfa.tmp
- %TEMP%\tmpdc0c.tmp
- %TEMP%\tmpdb5c.tmp
- %TEMP%\tmpddd5.tmp
- %TEMP%\tmpdde5.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://ut##y.xyz/IRemotePanel
UDP
- DNS ASK ut##y.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK fo###soder.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
