Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp18d6.tmp
- %TEMP%\tmp18c5.tmp
- %TEMP%\tmp18c4.tmp
- %TEMP%\tmp18b3.tmp
- %TEMP%\tmp18b2.tmp
- %TEMP%\tmp18b1.tmp
- %TEMP%\tmp18a1.tmp
- %TEMP%\tmp18a0.tmp
- %TEMP%\tmp188f.tmp
- %TEMP%\tmp188e.tmp
- %TEMP%\tmp187d.tmp
- %TEMP%\tmp18d8.tmp
- %TEMP%\tmp186c.tmp
- %TEMP%\tmp186b.tmp
- %TEMP%\tmp185a.tmp
- %TEMP%\tmp1859.tmp
- %TEMP%\tmp1858.tmp
- %TEMP%\tmp1848.tmp
- %TEMP%\tmp1847.tmp
- %TEMP%\tmp1836.tmp
- %TEMP%\tmp1835.tmp
- %TEMP%\tmp187e.tmp
- %TEMP%\tmp10f4.tmp
- %TEMP%\tmp18e8.tmp
- %TEMP%\tmp199b.tmp
- %TEMP%\tmp198b.tmp
- %TEMP%\tmp197a.tmp
- %TEMP%\tmp1979.tmp
- %TEMP%\tmp1968.tmp
- %TEMP%\tmp1967.tmp
- %TEMP%\tmp1957.tmp
- %TEMP%\tmp1956.tmp
- %TEMP%\tmp1945.tmp
- %TEMP%\tmp1944.tmp
- %TEMP%\tmp1825.tmp
- %TEMP%\tmp18d7.tmp
- %TEMP%\tmp1932.tmp
- %TEMP%\tmp1921.tmp
- %TEMP%\tmp1920.tmp
- %TEMP%\tmp191f.tmp
- %TEMP%\tmp190e.tmp
- %TEMP%\tmp190d.tmp
- %TEMP%\tmp190c.tmp
- %TEMP%\tmp18fc.tmp
- %TEMP%\tmp18fb.tmp
- %TEMP%\tmp18ea.tmp
- %TEMP%\tmp1933.tmp
- %TEMP%\tmp18e9.tmp
- %TEMP%\tmp12a8.tmp
- %TEMP%\tmp122a.tmp
- %TEMP%\tmp117d.tmp
- %TEMP%\tmpf83.tmp
- %TEMP%\tmp1048.tmp
- %TEMP%\tmp1047.tmp
- %TEMP%\tmp1037.tmp
- %TEMP%\tmp1026.tmp
- %TEMP%\tmp1016.tmp
- %TEMP%\tmp1005.tmp
- %TEMP%\tmpfe5.tmp
- %TEMP%\tmpfc5.tmp
- %TEMP%\tmpfa4.tmp
- %TEMP%\tmp19db.tmp
- %TEMP%\tmp105a.tmp
- %TEMP%\tmpf82.tmp
- %TEMP%\tmpf72.tmp
- %TEMP%\tmpf61.tmp
- %TEMP%\tmpf50.tmp
- %TEMP%\tmpf4f.tmp
- %TEMP%\tmpf3f.tmp
- %TEMP%\tmpf3e.tmp
- %TEMP%\tmpe91.tmp
- %TEMP%\tmpe81.tmp
- nul
- %TEMP%\tmpf94.tmp
- %TEMP%\tmp1934.tmp
- %TEMP%\tmp106b.tmp
- %TEMP%\tmp109c.tmp
- %TEMP%\tmp107b.tmp
- %TEMP%\tmp116d.tmp
- %TEMP%\tmp115c.tmp
- %TEMP%\tmp115b.tmp
- %TEMP%\tmp114a.tmp
- %TEMP%\tmp1149.tmp
- %TEMP%\tmp1139.tmp
- %TEMP%\tmp1138.tmp
- %TEMP%\tmp1127.tmp
- %TEMP%\tmp1126.tmp
- %TEMP%\tmp108c.tmp
- %TEMP%\tmp1116.tmp
- %TEMP%\tmp1059.tmp
- %TEMP%\tmp10f3.tmp
- %TEMP%\tmp10f2.tmp
- %TEMP%\tmp10e2.tmp
- %TEMP%\tmp10e1.tmp
- %TEMP%\tmp10d0.tmp
- %TEMP%\tmp10cf.tmp
- %TEMP%\tmp10bf.tmp
- %TEMP%\tmp10be.tmp
- %TEMP%\tmp10ad.tmp
- %TEMP%\tmp1105.tmp
- %TEMP%\tmp19eb.tmp
Удаляет следующие файлы
- %TEMP%\tmpe91.tmp
- %TEMP%\tmp186c.tmp
- %TEMP%\tmp187e.tmp
- %TEMP%\tmp188f.tmp
- %TEMP%\tmp18a1.tmp
- %TEMP%\tmp18b2.tmp
- %TEMP%\tmp18c4.tmp
- %TEMP%\tmp18d6.tmp
- %TEMP%\tmp18d8.tmp
- %TEMP%\tmp18e9.tmp
- %TEMP%\tmp1858.tmp
- %TEMP%\tmp185a.tmp
- %TEMP%\tmp18fb.tmp
- %TEMP%\tmp1920.tmp
- %TEMP%\tmp1932.tmp
- %TEMP%\tmp1934.tmp
- %TEMP%\tmp1945.tmp
- %TEMP%\tmp1957.tmp
- %TEMP%\tmp1968.tmp
- %TEMP%\tmp197a.tmp
- %TEMP%\tmp198b.tmp
- %TEMP%\tmp199b.tmp
- %TEMP%\tmp190c.tmp
- %TEMP%\tmp190e.tmp
- %TEMP%\tmp1847.tmp
- %TEMP%\tmp1835.tmp
- %TEMP%\tmp12a8.tmp
- %TEMP%\tmpf50.tmp
- %TEMP%\tmpf72.tmp
- %TEMP%\tmpf83.tmp
- %TEMP%\tmpfa4.tmp
- %TEMP%\tmpfe5.tmp
- %TEMP%\tmp1016.tmp
- %TEMP%\tmp1037.tmp
- %TEMP%\tmp1048.tmp
- %TEMP%\tmp105a.tmp
- %TEMP%\tmp107b.tmp
- %TEMP%\tmpf3f.tmp
- %TEMP%\tmp109c.tmp
- %TEMP%\tmp10cf.tmp
- %TEMP%\tmp10e1.tmp
- %TEMP%\tmp10f2.tmp
- %TEMP%\tmp10f4.tmp
- %TEMP%\tmp1116.tmp
- %TEMP%\tmp1127.tmp
- %TEMP%\tmp1139.tmp
- %TEMP%\tmp114a.tmp
- %TEMP%\tmp115c.tmp
- %TEMP%\tmp117d.tmp
- %TEMP%\tmp10be.tmp
- %TEMP%\tmp19db.tmp
- %TEMP%\tmp19eb.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://45.##.0.243:1500/IRemotePanel via 45.#4.0.243
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
