Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpf759.tmp
- %TEMP%\tmpfba7.tmp
- %TEMP%\tmpfba6.tmp
- %TEMP%\tmpfb96.tmp
- %TEMP%\tmpfb95.tmp
- %TEMP%\tmpfb84.tmp
- %TEMP%\tmpfb83.tmp
- %TEMP%\tmpfb72.tmp
- %TEMP%\tmpfb71.tmp
- %TEMP%\tmpfb70.tmp
- %TEMP%\tmpfb60.tmp
- %TEMP%\tmpfb4f.tmp
- %TEMP%\tmpfb4e.tmp
- %TEMP%\tmpfb1e.tmp
- %TEMP%\tmpfb1d.tmp
- %TEMP%\tmpfafd.tmp
- %TEMP%\tmpfafc.tmp
- %TEMP%\tmpfaec.tmp
- %TEMP%\tmpfadb.tmp
- %TEMP%\tmpfaca.tmp
- %TEMP%\tmpfaba.tmp
- %TEMP%\tmpfaa9.tmp
- %TEMP%\tmpfa98.tmp
- %TEMP%\tmpfaa8.tmp
- %TEMP%\tmpfba8.tmp
- %TEMP%\tmpfbc8.tmp
- %TEMP%\tmpfc8a.tmp
- %TEMP%\tmpfc6a.tmp
- %TEMP%\tmpfc59.tmp
- %TEMP%\tmpfc58.tmp
- %TEMP%\tmpfc48.tmp
- %TEMP%\tmpfc47.tmp
- %TEMP%\tmpfc36.tmp
- %TEMP%\tmpfc35.tmp
- %TEMP%\tmpfc24.tmp
- %TEMP%\tmpfc23.tmp
- %TEMP%\tmpfc12.tmp
- %TEMP%\tmpfa0c.tmp
- %TEMP%\tmpfc11.tmp
- %TEMP%\tmpfc00.tmp
- %TEMP%\tmpfbff.tmp
- %TEMP%\tmpfbef.tmp
- %TEMP%\tmpfbee.tmp
- %TEMP%\tmpfbed.tmp
- %TEMP%\tmpfbdc.tmp
- %TEMP%\tmpfbdb.tmp
- %TEMP%\tmpfbca.tmp
- %TEMP%\tmpfbc9.tmp
- %TEMP%\tmpfa97.tmp
- %TEMP%\tmpfa86.tmp
- %TEMP%\tmpfa85.tmp
- %TEMP%\tmpf931.tmp
- %TEMP%\tmpf930.tmp
- %TEMP%\tmpf91f.tmp
- %TEMP%\tmpf91e.tmp
- %TEMP%\tmpf90e.tmp
- %TEMP%\tmpf8fd.tmp
- %TEMP%\tmpf8fc.tmp
- %TEMP%\tmpf8ec.tmp
- %TEMP%\tmpf84f.tmp
- %TEMP%\tmpf82e.tmp
- %TEMP%\tmpf81e.tmp
- %TEMP%\tmpf80d.tmp
- %TEMP%\tmpf7fd.tmp
- %TEMP%\tmpf7fc.tmp
- %TEMP%\tmpf7eb.tmp
- %TEMP%\tmpf7da.tmp
- %TEMP%\tmpf7ca.tmp
- %TEMP%\tmpf7c9.tmp
- %TEMP%\tmpf7b8.tmp
- %TEMP%\tmpf769.tmp
- %TEMP%\tmpf943.tmp
- %TEMP%\tmpf953.tmp
- %TEMP%\tmpf942.tmp
- %TEMP%\tmpf964.tmp
- %TEMP%\tmpfa74.tmp
- %TEMP%\tmpf965.tmp
- %TEMP%\tmpfa64.tmp
- %TEMP%\tmpfa63.tmp
- %TEMP%\tmpfa52.tmp
- %TEMP%\tmpfa51.tmp
- %TEMP%\tmpfa41.tmp
- %TEMP%\tmpfa40.tmp
- %TEMP%\tmpfa2f.tmp
- %TEMP%\tmpfa2e.tmp
- %TEMP%\tmpfa1d.tmp
- %TEMP%\tmpfc13.tmp
- %TEMP%\tmpfcc9.tmp
- %TEMP%\tmpf9fb.tmp
- %TEMP%\tmpf9eb.tmp
- %TEMP%\tmpf9ea.tmp
- %TEMP%\tmpf9d9.tmp
- %TEMP%\tmpf9c8.tmp
- %TEMP%\tmpf9b8.tmp
- %TEMP%\tmpf9b7.tmp
- %TEMP%\tmpf977.tmp
- %TEMP%\tmpf976.tmp
- %TEMP%\tmpf975.tmp
- %TEMP%\tmpfa1c.tmp
- %TEMP%\tmpfcca.tmp
Удаляет следующие файлы
- %TEMP%\tmpf769.tmp
- %TEMP%\tmpfafd.tmp
- %TEMP%\tmpfb1e.tmp
- %TEMP%\tmpfb4f.tmp
- %TEMP%\tmpfb70.tmp
- %TEMP%\tmpfb72.tmp
- %TEMP%\tmpfb84.tmp
- %TEMP%\tmpfb96.tmp
- %TEMP%\tmpfba7.tmp
- %TEMP%\tmpfbc8.tmp
- %TEMP%\tmpfaca.tmp
- %TEMP%\tmpfaec.tmp
- %TEMP%\tmpfbca.tmp
- %TEMP%\tmpfbff.tmp
- %TEMP%\tmpfc11.tmp
- %TEMP%\tmpfc13.tmp
- %TEMP%\tmpfc24.tmp
- %TEMP%\tmpfc36.tmp
- %TEMP%\tmpfc48.tmp
- %TEMP%\tmpfc59.tmp
- %TEMP%\tmpfc6a.tmp
- %TEMP%\tmpfc8a.tmp
- %TEMP%\tmpfbdc.tmp
- %TEMP%\tmpfbee.tmp
- %TEMP%\tmpfaa9.tmp
- %TEMP%\tmpfa98.tmp
- %TEMP%\tmpfa86.tmp
- %TEMP%\tmpf7da.tmp
- %TEMP%\tmpf7fc.tmp
- %TEMP%\tmpf80d.tmp
- %TEMP%\tmpf82e.tmp
- %TEMP%\tmpf8ec.tmp
- %TEMP%\tmpf8fd.tmp
- %TEMP%\tmpf91e.tmp
- %TEMP%\tmpf930.tmp
- %TEMP%\tmpf942.tmp
- %TEMP%\tmpf953.tmp
- %TEMP%\tmpf7c9.tmp
- %TEMP%\tmpf965.tmp
- %TEMP%\tmpf9b7.tmp
- %TEMP%\tmpf9c8.tmp
- %TEMP%\tmpf9ea.tmp
- %TEMP%\tmpf9fb.tmp
- %TEMP%\tmpfa1c.tmp
- %TEMP%\tmpfa2e.tmp
- %TEMP%\tmpfa40.tmp
- %TEMP%\tmpfa51.tmp
- %TEMP%\tmpfa63.tmp
- %TEMP%\tmpfa74.tmp
- %TEMP%\tmpf976.tmp
- %TEMP%\tmpfcc9.tmp
- %TEMP%\tmpfcca.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://ba##sys.xyz/IRemotePanel
UDP
- DNS ASK ba##sys.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
