Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp8861.tmp
- %TEMP%\tmp8b86.tmp
- %TEMP%\tmp8b85.tmp
- %TEMP%\tmp8b74.tmp
- %TEMP%\tmp8b73.tmp
- %TEMP%\tmp8b72.tmp
- %TEMP%\tmp8b62.tmp
- %TEMP%\tmp8b61.tmp
- %TEMP%\tmp8b60.tmp
- %TEMP%\tmp8b4f.tmp
- %TEMP%\tmp8b4e.tmp
- %TEMP%\tmp8b4d.tmp
- %TEMP%\tmp8b2d.tmp
- %TEMP%\tmp8b2c.tmp
- %TEMP%\tmp8b1b.tmp
- %TEMP%\tmp8b1a.tmp
- %TEMP%\tmp8b0a.tmp
- %TEMP%\tmp8b09.tmp
- %TEMP%\tmp8b08.tmp
- %TEMP%\tmp8af7.tmp
- %TEMP%\tmp8af6.tmp
- %TEMP%\tmp8af5.tmp
- %TEMP%\tmp8b87.tmp
- %TEMP%\tmp8b98.tmp
- %TEMP%\tmp8b99.tmp
- %TEMP%\tmp8b9a.tmp
- %TEMP%\tmp8c6b.tmp
- %TEMP%\tmp8c4b.tmp
- %TEMP%\tmp8c2a.tmp
- %TEMP%\tmp8c29.tmp
- %TEMP%\tmp8c19.tmp
- %TEMP%\tmp8c18.tmp
- %TEMP%\tmp8c17.tmp
- %TEMP%\tmp8c06.tmp
- %TEMP%\tmp8c05.tmp
- %TEMP%\tmp8bf5.tmp
- %TEMP%\tmp8bf3.tmp
- %TEMP%\tmp8bf4.tmp
- %TEMP%\tmp8be2.tmp
- %TEMP%\tmp8be1.tmp
- %TEMP%\tmp8bd0.tmp
- %TEMP%\tmp8bcf.tmp
- %TEMP%\tmp8bbf.tmp
- %TEMP%\tmp8bbe.tmp
- %TEMP%\tmp8bbd.tmp
- %TEMP%\tmp8bac.tmp
- %TEMP%\tmp8bab.tmp
- %TEMP%\tmp8baa.tmp
- %TEMP%\tmp8c6c.tmp
- %TEMP%\tmp8ae5.tmp
- %TEMP%\tmp8ae4.tmp
- %TEMP%\tmp8ad3.tmp
- %TEMP%\tmp89bd.tmp
- %TEMP%\tmp89ad.tmp
- %TEMP%\tmp898d.tmp
- %TEMP%\tmp897c.tmp
- %TEMP%\tmp897b.tmp
- %TEMP%\tmp896a.tmp
- %TEMP%\tmp895a.tmp
- %TEMP%\tmp8959.tmp
- %TEMP%\tmp8939.tmp
- %TEMP%\tmp8938.tmp
- %TEMP%\tmp8937.tmp
- %TEMP%\tmp8926.tmp
- %TEMP%\tmp8925.tmp
- %TEMP%\tmp8914.tmp
- %TEMP%\tmp8913.tmp
- %TEMP%\tmp8903.tmp
- %TEMP%\tmp88f2.tmp
- %TEMP%\tmp88f1.tmp
- %TEMP%\tmp88e1.tmp
- %TEMP%\tmp88e0.tmp
- %TEMP%\tmp8871.tmp
- %TEMP%\tmp89be.tmp
- %TEMP%\tmp89cf.tmp
- %TEMP%\tmp89e0.tmp
- %TEMP%\tmp89f0.tmp
- %TEMP%\tmp8ac1.tmp
- %TEMP%\tmp8ac0.tmp
- %TEMP%\tmp8ab0.tmp
- %TEMP%\tmp8a9f.tmp
- %TEMP%\tmp8a9e.tmp
- %TEMP%\tmp8a9d.tmp
- %TEMP%\tmp8a8d.tmp
- %TEMP%\tmp8a8c.tmp
- %TEMP%\tmp8a7b.tmp
- %TEMP%\tmp8a7a.tmp
- %TEMP%\tmp8a68.tmp
- %TEMP%\tmp8a69.tmp
- %TEMP%\tmp8a58.tmp
- %TEMP%\tmp8a28.tmp
- %TEMP%\tmp8a27.tmp
- %TEMP%\tmp8a26.tmp
- %TEMP%\tmp8a15.tmp
- %TEMP%\tmp8a14.tmp
- %TEMP%\tmp8a04.tmp
- %TEMP%\tmp8a03.tmp
- %TEMP%\tmp89f2.tmp
- %TEMP%\tmp89f1.tmp
- %TEMP%\tmp8ad2.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp8871.tmp
- %TEMP%\tmp8b1b.tmp
- %TEMP%\tmp8b2d.tmp
- %TEMP%\tmp8b4e.tmp
- %TEMP%\tmp8b60.tmp
- %TEMP%\tmp8b62.tmp
- %TEMP%\tmp8b73.tmp
- %TEMP%\tmp8b85.tmp
- %TEMP%\tmp8b87.tmp
- %TEMP%\tmp8b99.tmp
- %TEMP%\tmp8b08.tmp
- %TEMP%\tmp8b0a.tmp
- %TEMP%\tmp8baa.tmp
- %TEMP%\tmp8bcf.tmp
- %TEMP%\tmp8be1.tmp
- %TEMP%\tmp8bf3.tmp
- %TEMP%\tmp8bf5.tmp
- %TEMP%\tmp8c06.tmp
- %TEMP%\tmp8c18.tmp
- %TEMP%\tmp8c29.tmp
- %TEMP%\tmp8c2a.tmp
- %TEMP%\tmp8c4b.tmp
- %TEMP%\tmp8bac.tmp
- %TEMP%\tmp8bbe.tmp
- %TEMP%\tmp8af6.tmp
- %TEMP%\tmp8ae5.tmp
- %TEMP%\tmp8ad3.tmp
- %TEMP%\tmp88f2.tmp
- %TEMP%\tmp8913.tmp
- %TEMP%\tmp8925.tmp
- %TEMP%\tmp8937.tmp
- %TEMP%\tmp8939.tmp
- %TEMP%\tmp895a.tmp
- %TEMP%\tmp897b.tmp
- %TEMP%\tmp898d.tmp
- %TEMP%\tmp89bd.tmp
- %TEMP%\tmp89cf.tmp
- %TEMP%\tmp88e1.tmp
- %TEMP%\tmp89f0.tmp
- %TEMP%\tmp8a04.tmp
- %TEMP%\tmp8a15.tmp
- %TEMP%\tmp8a27.tmp
- %TEMP%\tmp8a58.tmp
- %TEMP%\tmp8a69.tmp
- %TEMP%\tmp8a7b.tmp
- %TEMP%\tmp8a8d.tmp
- %TEMP%\tmp8a9e.tmp
- %TEMP%\tmp8ab0.tmp
- %TEMP%\tmp8ac1.tmp
- %TEMP%\tmp89f2.tmp
- %TEMP%\tmp8c6b.tmp
- %TEMP%\tmp8c6c.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://13#.##1.24.61:35200/IRemotePanel via 13#.#81.24.61
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
