Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp8ed6.tmp
- %TEMP%\tmp923b.tmp
- %TEMP%\tmp922a.tmp
- %TEMP%\tmp9229.tmp
- %TEMP%\tmp9228.tmp
- %TEMP%\tmp9218.tmp
- %TEMP%\tmp9217.tmp
- %TEMP%\tmp9216.tmp
- %TEMP%\tmp9205.tmp
- %TEMP%\tmp9204.tmp
- %TEMP%\tmp9203.tmp
- %TEMP%\tmp91f3.tmp
- %TEMP%\tmp91f2.tmp
- %TEMP%\tmp91e1.tmp
- %TEMP%\tmp91e0.tmp
- %TEMP%\tmp91cf.tmp
- %TEMP%\tmp91ce.tmp
- %TEMP%\tmp91cd.tmp
- %TEMP%\tmp91bd.tmp
- %TEMP%\tmp91bc.tmp
- %TEMP%\tmp91bb.tmp
- %TEMP%\tmp91aa.tmp
- %TEMP%\tmp91a8.tmp
- %TEMP%\tmp91a9.tmp
- %TEMP%\tmp924c.tmp
- %TEMP%\tmp924d.tmp
- %TEMP%\tmp931e.tmp
- %TEMP%\tmp92ee.tmp
- %TEMP%\tmp92ed.tmp
- %TEMP%\tmp92dc.tmp
- %TEMP%\tmp92db.tmp
- %TEMP%\tmp92da.tmp
- %TEMP%\tmp92ca.tmp
- %TEMP%\tmp92c9.tmp
- %TEMP%\tmp92c8.tmp
- %TEMP%\tmp92b7.tmp
- %TEMP%\tmp92a6.tmp
- %TEMP%\tmp90fd.tmp
- %TEMP%\tmp92a5.tmp
- %TEMP%\tmp9275.tmp
- %TEMP%\tmp9274.tmp
- %TEMP%\tmp9273.tmp
- %TEMP%\tmp9262.tmp
- %TEMP%\tmp9261.tmp
- %TEMP%\tmp9260.tmp
- %TEMP%\tmp925f.tmp
- %TEMP%\tmp924f.tmp
- %TEMP%\tmp924e.tmp
- %TEMP%\tmp91a7.tmp
- %TEMP%\tmp9197.tmp
- %TEMP%\tmp9186.tmp
- %TEMP%\tmp9061.tmp
- %TEMP%\tmp9050.tmp
- %TEMP%\tmp9011.tmp
- %TEMP%\tmp9000.tmp
- %TEMP%\tmp8ff0.tmp
- %TEMP%\tmp8fef.tmp
- %TEMP%\tmp8fde.tmp
- %TEMP%\tmp8fcd.tmp
- %TEMP%\tmp8fbd.tmp
- %TEMP%\tmp8fbc.tmp
- %TEMP%\tmp8fab.tmp
- %TEMP%\tmp8faa.tmp
- %TEMP%\tmp8fa9.tmp
- %TEMP%\tmp8f99.tmp
- %TEMP%\tmp8f98.tmp
- %TEMP%\tmp8f87.tmp
- %TEMP%\tmp8f76.tmp
- %TEMP%\tmp8f75.tmp
- %TEMP%\tmp8f65.tmp
- %TEMP%\tmp8ee7.tmp
- %TEMP%\tmp9072.tmp
- %TEMP%\tmp9083.tmp
- %TEMP%\tmp9071.tmp
- %TEMP%\tmp9094.tmp
- %TEMP%\tmp9185.tmp
- %TEMP%\tmp9095.tmp
- %TEMP%\tmp9174.tmp
- %TEMP%\tmp9164.tmp
- %TEMP%\tmp9163.tmp
- %TEMP%\tmp9152.tmp
- %TEMP%\tmp9142.tmp
- %TEMP%\tmp9141.tmp
- %TEMP%\tmp9130.tmp
- %TEMP%\tmp912f.tmp
- %TEMP%\tmp911e.tmp
- %TEMP%\tmp92b6.tmp
- %TEMP%\tmp933e.tmp
- %TEMP%\tmp90fc.tmp
- %TEMP%\tmp90ec.tmp
- %TEMP%\tmp90eb.tmp
- %TEMP%\tmp90da.tmp
- %TEMP%\tmp90d9.tmp
- %TEMP%\tmp90d8.tmp
- %TEMP%\tmp90c7.tmp
- %TEMP%\tmp90b7.tmp
- %TEMP%\tmp90b6.tmp
- %TEMP%\tmp90a5.tmp
- %TEMP%\tmp910e.tmp
- %TEMP%\tmp933f.tmp
Удаляет следующие файлы
- %TEMP%\tmp8ee7.tmp
- %TEMP%\tmp91cf.tmp
- %TEMP%\tmp91e1.tmp
- %TEMP%\tmp91f3.tmp
- %TEMP%\tmp9204.tmp
- %TEMP%\tmp9216.tmp
- %TEMP%\tmp9218.tmp
- %TEMP%\tmp9229.tmp
- %TEMP%\tmp923b.tmp
- %TEMP%\tmp924d.tmp
- %TEMP%\tmp91bc.tmp
- %TEMP%\tmp91cd.tmp
- %TEMP%\tmp924f.tmp
- %TEMP%\tmp9274.tmp
- %TEMP%\tmp92a5.tmp
- %TEMP%\tmp92b6.tmp
- %TEMP%\tmp92c8.tmp
- %TEMP%\tmp92ca.tmp
- %TEMP%\tmp92db.tmp
- %TEMP%\tmp92ed.tmp
- %TEMP%\tmp92ee.tmp
- %TEMP%\tmp931e.tmp
- %TEMP%\tmp9260.tmp
- %TEMP%\tmp9262.tmp
- %TEMP%\tmp91aa.tmp
- %TEMP%\tmp91a8.tmp
- %TEMP%\tmp9197.tmp
- %TEMP%\tmp8f87.tmp
- %TEMP%\tmp8f99.tmp
- %TEMP%\tmp8faa.tmp
- %TEMP%\tmp8fbc.tmp
- %TEMP%\tmp8fcd.tmp
- %TEMP%\tmp8fef.tmp
- %TEMP%\tmp9000.tmp
- %TEMP%\tmp9050.tmp
- %TEMP%\tmp9071.tmp
- %TEMP%\tmp9083.tmp
- %TEMP%\tmp8f75.tmp
- %TEMP%\tmp9095.tmp
- %TEMP%\tmp90c7.tmp
- %TEMP%\tmp90d9.tmp
- %TEMP%\tmp90eb.tmp
- %TEMP%\tmp90fc.tmp
- %TEMP%\tmp910e.tmp
- %TEMP%\tmp912f.tmp
- %TEMP%\tmp9141.tmp
- %TEMP%\tmp9152.tmp
- %TEMP%\tmp9164.tmp
- %TEMP%\tmp9185.tmp
- %TEMP%\tmp90b6.tmp
- %TEMP%\tmp933e.tmp
- %TEMP%\tmp933f.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://he###lli.xyz/IRemotePanel
UDP
- DNS ASK he###lli.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
