Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp2499.tmp
- %TEMP%\tmp2489.tmp
- %TEMP%\tmp2488.tmp
- %TEMP%\tmp2477.tmp
- %TEMP%\tmp2476.tmp
- %TEMP%\tmp2475.tmp
- %TEMP%\tmp2465.tmp
- %TEMP%\tmp2464.tmp
- %TEMP%\tmp2453.tmp
- %TEMP%\tmp2452.tmp
- %TEMP%\tmp2440.tmp
- %TEMP%\tmp249b.tmp
- %TEMP%\tmp2430.tmp
- %TEMP%\tmp242f.tmp
- %TEMP%\tmp241e.tmp
- %TEMP%\tmp241d.tmp
- %TEMP%\tmp241c.tmp
- %TEMP%\tmp240c.tmp
- %TEMP%\tmp23fb.tmp
- %TEMP%\tmp23fa.tmp
- %TEMP%\tmp23f9.tmp
- %TEMP%\tmp2451.tmp
- %TEMP%\tmp236c.tmp
- %TEMP%\tmp24ac.tmp
- %TEMP%\tmp258e.tmp
- %TEMP%\tmp255e.tmp
- %TEMP%\tmp253e.tmp
- %TEMP%\tmp252d.tmp
- %TEMP%\tmp251d.tmp
- %TEMP%\tmp251c.tmp
- %TEMP%\tmp251b.tmp
- %TEMP%\tmp250a.tmp
- %TEMP%\tmp2509.tmp
- %TEMP%\tmp2508.tmp
- %TEMP%\tmp23e8.tmp
- %TEMP%\tmp249a.tmp
- %TEMP%\tmp24f6.tmp
- %TEMP%\tmp24e5.tmp
- %TEMP%\tmp24e4.tmp
- %TEMP%\tmp24d3.tmp
- %TEMP%\tmp24d2.tmp
- %TEMP%\tmp24d1.tmp
- %TEMP%\tmp24c1.tmp
- %TEMP%\tmp24c0.tmp
- %TEMP%\tmp24bf.tmp
- %TEMP%\tmp24ae.tmp
- %TEMP%\tmp24f7.tmp
- %TEMP%\tmp24ad.tmp
- %TEMP%\tmp23e7.tmp
- %TEMP%\tmp23e6.tmp
- %TEMP%\tmp23d6.tmp
- %TEMP%\tmp2287.tmp
- %TEMP%\tmp22df.tmp
- %TEMP%\tmp22cf.tmp
- %TEMP%\tmp22be.tmp
- %TEMP%\tmp22bd.tmp
- %TEMP%\tmp22ad.tmp
- %TEMP%\tmp22ac.tmp
- %TEMP%\tmp229b.tmp
- %TEMP%\tmp229a.tmp
- %TEMP%\tmp2289.tmp
- %TEMP%\tmp258f.tmp
- %TEMP%\tmp22f1.tmp
- %TEMP%\tmp2277.tmp
- %TEMP%\tmp2276.tmp
- %TEMP%\tmp2265.tmp
- %TEMP%\tmp2264.tmp
- %TEMP%\tmp2254.tmp
- %TEMP%\tmp2243.tmp
- %TEMP%\tmp2242.tmp
- %TEMP%\tmp2231.tmp
- %TEMP%\tmp21b4.tmp
- %TEMP%\tmp21a3.tmp
- %TEMP%\tmp2288.tmp
- %TEMP%\tmp24f8.tmp
- %TEMP%\tmp22f2.tmp
- %TEMP%\tmp2314.tmp
- %TEMP%\tmp2303.tmp
- %TEMP%\tmp23d5.tmp
- %TEMP%\tmp23c4.tmp
- %TEMP%\tmp23b4.tmp
- %TEMP%\tmp23b3.tmp
- %TEMP%\tmp23a2.tmp
- %TEMP%\tmp23a1.tmp
- %TEMP%\tmp2390.tmp
- %TEMP%\tmp238f.tmp
- %TEMP%\tmp237f.tmp
- %TEMP%\tmp2304.tmp
- %TEMP%\tmp237e.tmp
- %TEMP%\tmp22e0.tmp
- %TEMP%\tmp235c.tmp
- %TEMP%\tmp235b.tmp
- %TEMP%\tmp235a.tmp
- %TEMP%\tmp2349.tmp
- %TEMP%\tmp2338.tmp
- %TEMP%\tmp2337.tmp
- %TEMP%\tmp2327.tmp
- %TEMP%\tmp2326.tmp
- %TEMP%\tmp2325.tmp
- %TEMP%\tmp236d.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp21b4.tmp
- %TEMP%\tmp242f.tmp
- %TEMP%\tmp2440.tmp
- %TEMP%\tmp2452.tmp
- %TEMP%\tmp2464.tmp
- %TEMP%\tmp2475.tmp
- %TEMP%\tmp2477.tmp
- %TEMP%\tmp2489.tmp
- %TEMP%\tmp249a.tmp
- %TEMP%\tmp24ac.tmp
- %TEMP%\tmp240c.tmp
- %TEMP%\tmp241d.tmp
- %TEMP%\tmp24ae.tmp
- %TEMP%\tmp24d3.tmp
- %TEMP%\tmp24e5.tmp
- %TEMP%\tmp24f7.tmp
- %TEMP%\tmp2508.tmp
- %TEMP%\tmp250a.tmp
- %TEMP%\tmp251c.tmp
- %TEMP%\tmp252d.tmp
- %TEMP%\tmp253e.tmp
- %TEMP%\tmp255e.tmp
- %TEMP%\tmp24c0.tmp
- %TEMP%\tmp24d1.tmp
- %TEMP%\tmp23fa.tmp
- %TEMP%\tmp23e8.tmp
- %TEMP%\tmp23e6.tmp
- %TEMP%\tmp2254.tmp
- %TEMP%\tmp2265.tmp
- %TEMP%\tmp2277.tmp
- %TEMP%\tmp2288.tmp
- %TEMP%\tmp229a.tmp
- %TEMP%\tmp22ac.tmp
- %TEMP%\tmp22bd.tmp
- %TEMP%\tmp22cf.tmp
- %TEMP%\tmp22e0.tmp
- %TEMP%\tmp22f2.tmp
- %TEMP%\tmp2242.tmp
- %TEMP%\tmp2304.tmp
- %TEMP%\tmp2327.tmp
- %TEMP%\tmp2338.tmp
- %TEMP%\tmp235a.tmp
- %TEMP%\tmp235c.tmp
- %TEMP%\tmp236d.tmp
- %TEMP%\tmp237f.tmp
- %TEMP%\tmp2390.tmp
- %TEMP%\tmp23a2.tmp
- %TEMP%\tmp23b4.tmp
- %TEMP%\tmp23d5.tmp
- %TEMP%\tmp2325.tmp
- %TEMP%\tmp258e.tmp
- %TEMP%\tmp258f.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://13#.##0.146.6:1524/IRemotePanel via 13#.#80.146.6
UDP
- DNS ASK qw###.ssigu.ru
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
