Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpda67.tmp
- %TEMP%\tmpdbf6.tmp
- %TEMP%\tmpdbf5.tmp
- %TEMP%\tmpdbf4.tmp
- %TEMP%\tmpdbf3.tmp
- %TEMP%\tmpdbe3.tmp
- %TEMP%\tmpdbe2.tmp
- %TEMP%\tmpdbe1.tmp
- %TEMP%\tmpdbe0.tmp
- %TEMP%\tmpdbdf.tmp
- %TEMP%\tmpdbde.tmp
- %TEMP%\tmpdbdd.tmp
- %TEMP%\tmpdbcc.tmp
- %TEMP%\tmpdbcb.tmp
- %TEMP%\tmpdbca.tmp
- %TEMP%\tmpdbc9.tmp
- %TEMP%\tmpdbc8.tmp
- %TEMP%\tmpdbc7.tmp
- %TEMP%\tmpdbb6.tmp
- %TEMP%\tmpdbb5.tmp
- %TEMP%\tmpdbb4.tmp
- %TEMP%\tmpdbb3.tmp
- %TEMP%\tmpdc07.tmp
- %TEMP%\tmpdc08.tmp
- %TEMP%\tmpdc09.tmp
- %TEMP%\tmpdc0a.tmp
- %TEMP%\tmpdcac.tmp
- %TEMP%\tmpdc9c.tmp
- %TEMP%\tmpdc8b.tmp
- %TEMP%\tmpdc8a.tmp
- %TEMP%\tmpdc89.tmp
- %TEMP%\tmpdc4a.tmp
- %TEMP%\tmpdc49.tmp
- %TEMP%\tmpdc48.tmp
- %TEMP%\tmpdc37.tmp
- %TEMP%\tmpdc36.tmp
- %TEMP%\tmpdc34.tmp
- %TEMP%\tmpdc35.tmp
- %TEMP%\tmpdc33.tmp
- %TEMP%\tmpdc32.tmp
- %TEMP%\tmpdc21.tmp
- %TEMP%\tmpdc20.tmp
- %TEMP%\tmpdc1f.tmp
- %TEMP%\tmpdc1e.tmp
- %TEMP%\tmpdc1d.tmp
- %TEMP%\tmpdc0d.tmp
- %TEMP%\tmpdc0c.tmp
- %TEMP%\tmpdc0b.tmp
- %TEMP%\tmpdcbd.tmp
- %TEMP%\tmpdbb2.tmp
- %TEMP%\tmpdbb1.tmp
- %TEMP%\tmpdba1.tmp
- %TEMP%\tmpdb18.tmp
- %TEMP%\tmpdb17.tmp
- %TEMP%\tmpdb16.tmp
- %TEMP%\tmpdb05.tmp
- %TEMP%\tmpdaf4.tmp
- %TEMP%\tmpdae4.tmp
- %TEMP%\tmpdae3.tmp
- %TEMP%\tmpdae2.tmp
- %TEMP%\tmpdad1.tmp
- %TEMP%\tmpdad0.tmp
- %TEMP%\tmpdacf.tmp
- %TEMP%\tmpdabf.tmp
- %TEMP%\tmpdabe.tmp
- %TEMP%\tmpdabd.tmp
- %TEMP%\tmpdaac.tmp
- %TEMP%\tmpdaab.tmp
- %TEMP%\tmpdaaa.tmp
- %TEMP%\tmpdaa9.tmp
- %TEMP%\tmpdaa8.tmp
- %TEMP%\tmpda97.tmp
- %TEMP%\tmpda68.tmp
- %TEMP%\tmpdb19.tmp
- %TEMP%\tmpdb29.tmp
- %TEMP%\tmpdb2a.tmp
- %TEMP%\tmpdb2b.tmp
- %TEMP%\tmpdb9f.tmp
- %TEMP%\tmpdb9e.tmp
- %TEMP%\tmpdb8d.tmp
- %TEMP%\tmpdb8c.tmp
- %TEMP%\tmpdb7c.tmp
- %TEMP%\tmpdb7b.tmp
- %TEMP%\tmpdb7a.tmp
- %TEMP%\tmpdb79.tmp
- %TEMP%\tmpdb78.tmp
- %TEMP%\tmpdb67.tmp
- %TEMP%\tmpdb65.tmp
- %TEMP%\tmpdb66.tmp
- %TEMP%\tmpdb64.tmp
- %TEMP%\tmpdb53.tmp
- %TEMP%\tmpdb52.tmp
- %TEMP%\tmpdb51.tmp
- %TEMP%\tmpdb50.tmp
- %TEMP%\tmpdb4f.tmp
- %TEMP%\tmpdb3f.tmp
- %TEMP%\tmpdb3e.tmp
- %TEMP%\tmpdb3d.tmp
- %TEMP%\tmpdb2c.tmp
- %TEMP%\tmpdba0.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpda68.tmp
- %TEMP%\tmpdbca.tmp
- %TEMP%\tmpdbcc.tmp
- %TEMP%\tmpdbde.tmp
- %TEMP%\tmpdbe0.tmp
- %TEMP%\tmpdbe2.tmp
- %TEMP%\tmpdbf3.tmp
- %TEMP%\tmpdbf5.tmp
- %TEMP%\tmpdc07.tmp
- %TEMP%\tmpdc09.tmp
- %TEMP%\tmpdbb6.tmp
- %TEMP%\tmpdbc8.tmp
- %TEMP%\tmpdc0b.tmp
- %TEMP%\tmpdc20.tmp
- %TEMP%\tmpdc32.tmp
- %TEMP%\tmpdc34.tmp
- %TEMP%\tmpdc36.tmp
- %TEMP%\tmpdc48.tmp
- %TEMP%\tmpdc4a.tmp
- %TEMP%\tmpdc8a.tmp
- %TEMP%\tmpdc8b.tmp
- %TEMP%\tmpdc9c.tmp
- %TEMP%\tmpdc0d.tmp
- %TEMP%\tmpdc1e.tmp
- %TEMP%\tmpdbb4.tmp
- %TEMP%\tmpdbb2.tmp
- %TEMP%\tmpdba1.tmp
- %TEMP%\tmpdaaa.tmp
- %TEMP%\tmpdaac.tmp
- %TEMP%\tmpdabe.tmp
- %TEMP%\tmpdacf.tmp
- %TEMP%\tmpdad1.tmp
- %TEMP%\tmpdae3.tmp
- %TEMP%\tmpdaf4.tmp
- %TEMP%\tmpdb16.tmp
- %TEMP%\tmpdb18.tmp
- %TEMP%\tmpdb29.tmp
- %TEMP%\tmpdaa8.tmp
- %TEMP%\tmpdb2b.tmp
- %TEMP%\tmpdb3f.tmp
- %TEMP%\tmpdb50.tmp
- %TEMP%\tmpdb52.tmp
- %TEMP%\tmpdb64.tmp
- %TEMP%\tmpdb66.tmp
- %TEMP%\tmpdb78.tmp
- %TEMP%\tmpdb7a.tmp
- %TEMP%\tmpdb7c.tmp
- %TEMP%\tmpdb8d.tmp
- %TEMP%\tmpdb9f.tmp
- %TEMP%\tmpdb3d.tmp
- %TEMP%\tmpdcac.tmp
- %TEMP%\tmpdcbd.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://93.##5.20.250/IRemotePanel
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
