Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp3e70.tmp
- %TEMP%\tmp3e5f.tmp
- %TEMP%\tmp3e4f.tmp
- %TEMP%\tmp3e4e.tmp
- %TEMP%\tmp3e3d.tmp
- %TEMP%\tmp3e3c.tmp
- %TEMP%\tmp3e3b.tmp
- %TEMP%\tmp3e2b.tmp
- %TEMP%\tmp3e2a.tmp
- %TEMP%\tmp3e19.tmp
- %TEMP%\tmp3e07.tmp
- %TEMP%\tmp3e82.tmp
- %TEMP%\tmp3e06.tmp
- %TEMP%\tmp3df6.tmp
- %TEMP%\tmp3df5.tmp
- %TEMP%\tmp3de4.tmp
- %TEMP%\tmp3de3.tmp
- %TEMP%\tmp3dd3.tmp
- %TEMP%\tmp3dc2.tmp
- %TEMP%\tmp3dc1.tmp
- %TEMP%\tmp3dc0.tmp
- %TEMP%\tmp3e18.tmp
- %TEMP%\tmp3d33.tmp
- %TEMP%\tmp3e83.tmp
- %TEMP%\tmp4000.tmp
- %TEMP%\tmp3f83.tmp
- %TEMP%\tmp3f53.tmp
- %TEMP%\tmp3f33.tmp
- %TEMP%\tmp3f32.tmp
- %TEMP%\tmp3f21.tmp
- %TEMP%\tmp3f20.tmp
- %TEMP%\tmp3f0f.tmp
- %TEMP%\tmp3f0e.tmp
- %TEMP%\tmp3efe.tmp
- %TEMP%\tmp3dbf.tmp
- %TEMP%\tmp3e81.tmp
- %TEMP%\tmp3eeb.tmp
- %TEMP%\tmp3edb.tmp
- %TEMP%\tmp3eda.tmp
- %TEMP%\tmp3ed9.tmp
- %TEMP%\tmp3ec8.tmp
- %TEMP%\tmp3ec7.tmp
- %TEMP%\tmp3eb6.tmp
- %TEMP%\tmp3ea6.tmp
- %TEMP%\tmp3ea5.tmp
- %TEMP%\tmp3e94.tmp
- %TEMP%\tmp3eec.tmp
- %TEMP%\tmp3e93.tmp
- %TEMP%\tmp3dae.tmp
- %TEMP%\tmp3dad.tmp
- %TEMP%\tmp3dac.tmp
- %TEMP%\tmp3b45.tmp
- %TEMP%\tmp3c0a.tmp
- %TEMP%\tmp3bea.tmp
- %TEMP%\tmp3bda.tmp
- %TEMP%\tmp3bc9.tmp
- %TEMP%\tmp3bb8.tmp
- %TEMP%\tmp3ba8.tmp
- %TEMP%\tmp3ba7.tmp
- %TEMP%\tmp3b87.tmp
- %TEMP%\tmp3b76.tmp
- %TEMP%\tmp4030.tmp
- %TEMP%\tmp3c4b.tmp
- %TEMP%\tmp3b35.tmp
- %TEMP%\tmp3b34.tmp
- %TEMP%\tmp3b23.tmp
- %TEMP%\tmp3b22.tmp
- %TEMP%\tmp3b11.tmp
- %TEMP%\tmp3b10.tmp
- %TEMP%\tmp3b00.tmp
- %TEMP%\tmp3aff.tmp
- %TEMP%\tmp3a91.tmp
- %TEMP%\tmp3a70.tmp
- %TEMP%\tmp3b56.tmp
- %TEMP%\tmp3efd.tmp
- %TEMP%\tmp3c5b.tmp
- %TEMP%\tmp3c7e.tmp
- %TEMP%\tmp3c6c.tmp
- %TEMP%\tmp3d9c.tmp
- %TEMP%\tmp3d8b.tmp
- %TEMP%\tmp3d8a.tmp
- %TEMP%\tmp3d7a.tmp
- %TEMP%\tmp3d69.tmp
- %TEMP%\tmp3d68.tmp
- %TEMP%\tmp3d57.tmp
- %TEMP%\tmp3d56.tmp
- %TEMP%\tmp3d46.tmp
- %TEMP%\tmp3c7d.tmp
- %TEMP%\tmp3d45.tmp
- %TEMP%\tmp3c3a.tmp
- %TEMP%\tmp3d23.tmp
- %TEMP%\tmp3ce3.tmp
- %TEMP%\tmp3cd3.tmp
- %TEMP%\tmp3cc2.tmp
- %TEMP%\tmp3cc1.tmp
- %TEMP%\tmp3cb0.tmp
- %TEMP%\tmp3ca0.tmp
- %TEMP%\tmp3c8f.tmp
- %TEMP%\tmp3c8e.tmp
- %TEMP%\tmp3d34.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp3a91.tmp
- %TEMP%\tmp3df6.tmp
- %TEMP%\tmp3e07.tmp
- %TEMP%\tmp3e19.tmp
- %TEMP%\tmp3e2b.tmp
- %TEMP%\tmp3e3c.tmp
- %TEMP%\tmp3e4e.tmp
- %TEMP%\tmp3e5f.tmp
- %TEMP%\tmp3e81.tmp
- %TEMP%\tmp3e83.tmp
- %TEMP%\tmp3dd3.tmp
- %TEMP%\tmp3de4.tmp
- %TEMP%\tmp3e94.tmp
- %TEMP%\tmp3ed9.tmp
- %TEMP%\tmp3edb.tmp
- %TEMP%\tmp3eec.tmp
- %TEMP%\tmp3efe.tmp
- %TEMP%\tmp3f0f.tmp
- %TEMP%\tmp3f21.tmp
- %TEMP%\tmp3f33.tmp
- %TEMP%\tmp3f53.tmp
- %TEMP%\tmp3f83.tmp
- %TEMP%\tmp3ea6.tmp
- %TEMP%\tmp3ec7.tmp
- %TEMP%\tmp3dc1.tmp
- %TEMP%\tmp3dbf.tmp
- %TEMP%\tmp3dad.tmp
- %TEMP%\tmp3b11.tmp
- %TEMP%\tmp3b23.tmp
- %TEMP%\tmp3b35.tmp
- %TEMP%\tmp3b56.tmp
- %TEMP%\tmp3b87.tmp
- %TEMP%\tmp3ba8.tmp
- %TEMP%\tmp3bc9.tmp
- %TEMP%\tmp3bea.tmp
- %TEMP%\tmp3c3a.tmp
- %TEMP%\tmp3c5b.tmp
- %TEMP%\tmp3b00.tmp
- %TEMP%\tmp3c7d.tmp
- %TEMP%\tmp3ca0.tmp
- %TEMP%\tmp3cc1.tmp
- %TEMP%\tmp3cd3.tmp
- %TEMP%\tmp3d23.tmp
- %TEMP%\tmp3d34.tmp
- %TEMP%\tmp3d46.tmp
- %TEMP%\tmp3d57.tmp
- %TEMP%\tmp3d69.tmp
- %TEMP%\tmp3d8a.tmp
- %TEMP%\tmp3d9c.tmp
- %TEMP%\tmp3c8e.tmp
- %TEMP%\tmp4000.tmp
- %TEMP%\tmp4030.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://45.###.146.215:35200/IRemotePanel via 45.##0.146.215
UDP
- DNS ASK c.##igu.ru
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
