Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpc80f.tmp
- %TEMP%\tmpcc2e.tmp
- %TEMP%\tmpcc2d.tmp
- %TEMP%\tmpcc2c.tmp
- %TEMP%\tmpcc2b.tmp
- %TEMP%\tmpcc2a.tmp
- %TEMP%\tmpcc19.tmp
- %TEMP%\tmpcc18.tmp
- %TEMP%\tmpcc17.tmp
- %TEMP%\tmpcc16.tmp
- %TEMP%\tmpcc06.tmp
- %TEMP%\tmpcc05.tmp
- %TEMP%\tmpcc04.tmp
- %TEMP%\tmpcc03.tmp
- %TEMP%\tmpcbf2.tmp
- %TEMP%\tmpcbf1.tmp
- %TEMP%\tmpcbf0.tmp
- %TEMP%\tmpcbdf.tmp
- %TEMP%\tmpcbde.tmp
- %TEMP%\tmpcbdd.tmp
- %TEMP%\tmpcbcd.tmp
- %TEMP%\tmpcbcc.tmp
- %TEMP%\tmpcc3e.tmp
- %TEMP%\tmpcc3f.tmp
- %TEMP%\tmpcc40.tmp
- %TEMP%\tmpcc41.tmp
- %TEMP%\tmpcd03.tmp
- %TEMP%\tmpcce3.tmp
- %TEMP%\tmpccb3.tmp
- %TEMP%\tmpcca2.tmp
- %TEMP%\tmpcca1.tmp
- %TEMP%\tmpcca0.tmp
- %TEMP%\tmpcc90.tmp
- %TEMP%\tmpcc8f.tmp
- %TEMP%\tmpcc8e.tmp
- %TEMP%\tmpcc7d.tmp
- %TEMP%\tmpcc7b.tmp
- %TEMP%\tmpcc7c.tmp
- %TEMP%\tmpcc7a.tmp
- %TEMP%\tmpcc79.tmp
- %TEMP%\tmpcc69.tmp
- %TEMP%\tmpcc68.tmp
- %TEMP%\tmpcc67.tmp
- %TEMP%\tmpcc56.tmp
- %TEMP%\tmpcc55.tmp
- %TEMP%\tmpcc54.tmp
- %TEMP%\tmpcc53.tmp
- %TEMP%\tmpcc52.tmp
- %TEMP%\tmpcd04.tmp
- %TEMP%\tmpcbcb.tmp
- %TEMP%\tmpcbca.tmp
- %TEMP%\tmpcbb9.tmp
- %TEMP%\tmpcad2.tmp
- %TEMP%\tmpcad1.tmp
- %TEMP%\tmpcad0.tmp
- %TEMP%\tmpcac0.tmp
- %TEMP%\tmpcabf.tmp
- %TEMP%\tmpcabe.tmp
- %TEMP%\tmpcaad.tmp
- %TEMP%\tmpcaac.tmp
- %TEMP%\tmpcaab.tmp
- %TEMP%\tmpca9b.tmp
- %TEMP%\tmpca8a.tmp
- %TEMP%\tmpca89.tmp
- %TEMP%\tmpca78.tmp
- %TEMP%\tmpca77.tmp
- %TEMP%\tmpca67.tmp
- %TEMP%\tmpca66.tmp
- %TEMP%\tmpca55.tmp
- %TEMP%\tmpca54.tmp
- %TEMP%\tmpca53.tmp
- %TEMP%\tmpca43.tmp
- %TEMP%\tmpca03.tmp
- %TEMP%\tmpcae3.tmp
- %TEMP%\tmpcae4.tmp
- %TEMP%\tmpcae5.tmp
- %TEMP%\tmpcb15.tmp
- %TEMP%\tmpcba8.tmp
- %TEMP%\tmpcba7.tmp
- %TEMP%\tmpcba6.tmp
- %TEMP%\tmpcb95.tmp
- %TEMP%\tmpcb94.tmp
- %TEMP%\tmpcb83.tmp
- %TEMP%\tmpcb82.tmp
- %TEMP%\tmpcb72.tmp
- %TEMP%\tmpcb71.tmp
- %TEMP%\tmpcb70.tmp
- %TEMP%\tmpcb5e.tmp
- %TEMP%\tmpcb5f.tmp
- %TEMP%\tmpcb4e.tmp
- %TEMP%\tmpcb4d.tmp
- %TEMP%\tmpcb4c.tmp
- %TEMP%\tmpcb3b.tmp
- %TEMP%\tmpcb3a.tmp
- %TEMP%\tmpcb29.tmp
- %TEMP%\tmpcb28.tmp
- %TEMP%\tmpcb27.tmp
- %TEMP%\tmpcb17.tmp
- %TEMP%\tmpcb16.tmp
- %TEMP%\tmpcbb8.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpca03.tmp
- %TEMP%\tmpcbf2.tmp
- %TEMP%\tmpcc04.tmp
- %TEMP%\tmpcc06.tmp
- %TEMP%\tmpcc17.tmp
- %TEMP%\tmpcc19.tmp
- %TEMP%\tmpcc2b.tmp
- %TEMP%\tmpcc2d.tmp
- %TEMP%\tmpcc3e.tmp
- %TEMP%\tmpcc40.tmp
- %TEMP%\tmpcbde.tmp
- %TEMP%\tmpcbf0.tmp
- %TEMP%\tmpcc52.tmp
- %TEMP%\tmpcc68.tmp
- %TEMP%\tmpcc79.tmp
- %TEMP%\tmpcc7b.tmp
- %TEMP%\tmpcc7d.tmp
- %TEMP%\tmpcc8f.tmp
- %TEMP%\tmpcca0.tmp
- %TEMP%\tmpcca2.tmp
- %TEMP%\tmpccb3.tmp
- %TEMP%\tmpcce3.tmp
- %TEMP%\tmpcc54.tmp
- %TEMP%\tmpcc56.tmp
- %TEMP%\tmpcbcd.tmp
- %TEMP%\tmpcbcb.tmp
- %TEMP%\tmpcbb9.tmp
- %TEMP%\tmpca55.tmp
- %TEMP%\tmpca67.tmp
- %TEMP%\tmpca78.tmp
- %TEMP%\tmpca8a.tmp
- %TEMP%\tmpcaab.tmp
- %TEMP%\tmpcaad.tmp
- %TEMP%\tmpcabf.tmp
- %TEMP%\tmpcad0.tmp
- %TEMP%\tmpcad2.tmp
- %TEMP%\tmpcae4.tmp
- %TEMP%\tmpca53.tmp
- %TEMP%\tmpcb15.tmp
- %TEMP%\tmpcb28.tmp
- %TEMP%\tmpcb3a.tmp
- %TEMP%\tmpcb4c.tmp
- %TEMP%\tmpcb4e.tmp
- %TEMP%\tmpcb5f.tmp
- %TEMP%\tmpcb71.tmp
- %TEMP%\tmpcb82.tmp
- %TEMP%\tmpcb94.tmp
- %TEMP%\tmpcba6.tmp
- %TEMP%\tmpcba8.tmp
- %TEMP%\tmpcb17.tmp
- %TEMP%\tmpcd03.tmp
- %TEMP%\tmpcd04.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://13#.#24.180.17/IRemotePanel
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
