Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp19e6.tmp
- %TEMP%\tmp1d0c.tmp
- %TEMP%\tmp1d0b.tmp
- %TEMP%\tmp1cfb.tmp
- %TEMP%\tmp1cfa.tmp
- %TEMP%\tmp1cf9.tmp
- %TEMP%\tmp1cf8.tmp
- %TEMP%\tmp1ce7.tmp
- %TEMP%\tmp1ce6.tmp
- %TEMP%\tmp1ce5.tmp
- %TEMP%\tmp1cd4.tmp
- %TEMP%\tmp1cd3.tmp
- %TEMP%\tmp1cd2.tmp
- %TEMP%\tmp1cd1.tmp
- %TEMP%\tmp1cc1.tmp
- %TEMP%\tmp1cc0.tmp
- %TEMP%\tmp1cbf.tmp
- %TEMP%\tmp1cae.tmp
- %TEMP%\tmp1cad.tmp
- %TEMP%\tmp1cac.tmp
- %TEMP%\tmp1cab.tmp
- %TEMP%\tmp1c9b.tmp
- %TEMP%\tmp1c99.tmp
- %TEMP%\tmp1c9a.tmp
- %TEMP%\tmp1d0d.tmp
- %TEMP%\tmp1d0e.tmp
- %TEMP%\tmp1da1.tmp
- %TEMP%\tmp1d81.tmp
- %TEMP%\tmp1d70.tmp
- %TEMP%\tmp1d6f.tmp
- %TEMP%\tmp1d6e.tmp
- %TEMP%\tmp1d6d.tmp
- %TEMP%\tmp1d5d.tmp
- %TEMP%\tmp1d5c.tmp
- %TEMP%\tmp1d5b.tmp
- %TEMP%\tmp1d5a.tmp
- %TEMP%\tmp1d48.tmp
- %TEMP%\tmp1c2c.tmp
- %TEMP%\tmp1d47.tmp
- %TEMP%\tmp1d36.tmp
- %TEMP%\tmp1d35.tmp
- %TEMP%\tmp1d34.tmp
- %TEMP%\tmp1d33.tmp
- %TEMP%\tmp1d32.tmp
- %TEMP%\tmp1d22.tmp
- %TEMP%\tmp1d21.tmp
- %TEMP%\tmp1d20.tmp
- %TEMP%\tmp1d1f.tmp
- %TEMP%\tmp1c98.tmp
- %TEMP%\tmp1c87.tmp
- %TEMP%\tmp1c86.tmp
- %TEMP%\tmp1b80.tmp
- %TEMP%\tmp1b7f.tmp
- %TEMP%\tmp1b7e.tmp
- %TEMP%\tmp1b6d.tmp
- %TEMP%\tmp1b6c.tmp
- %TEMP%\tmp1b3d.tmp
- %TEMP%\tmp1b3c.tmp
- %TEMP%\tmp1b2b.tmp
- %TEMP%\tmp1b1a.tmp
- %TEMP%\tmp1afa.tmp
- %TEMP%\tmp1af9.tmp
- %TEMP%\tmp1ae9.tmp
- %TEMP%\tmp1ae8.tmp
- %TEMP%\tmp1ad7.tmp
- %TEMP%\tmp1ac6.tmp
- %TEMP%\tmp1ab6.tmp
- %TEMP%\tmp1aa5.tmp
- %TEMP%\tmp1aa4.tmp
- %TEMP%\tmp1aa3.tmp
- %TEMP%\tmp19f7.tmp
- %TEMP%\tmp1b92.tmp
- %TEMP%\tmp1b93.tmp
- %TEMP%\tmp1b91.tmp
- %TEMP%\tmp1bb3.tmp
- %TEMP%\tmp1c75.tmp
- %TEMP%\tmp1bc3.tmp
- %TEMP%\tmp1c74.tmp
- %TEMP%\tmp1c73.tmp
- %TEMP%\tmp1c72.tmp
- %TEMP%\tmp1c62.tmp
- %TEMP%\tmp1c61.tmp
- %TEMP%\tmp1c60.tmp
- %TEMP%\tmp1c4f.tmp
- %TEMP%\tmp1c3f.tmp
- %TEMP%\tmp1c3e.tmp
- %TEMP%\tmp1d49.tmp
- %TEMP%\tmp1dc1.tmp
- %TEMP%\tmp1c2b.tmp
- %TEMP%\tmp1c0b.tmp
- %TEMP%\tmp1c0a.tmp
- %TEMP%\tmp1bf9.tmp
- %TEMP%\tmp1bf8.tmp
- %TEMP%\tmp1be8.tmp
- %TEMP%\tmp1be7.tmp
- %TEMP%\tmp1bd6.tmp
- %TEMP%\tmp1bd5.tmp
- %TEMP%\tmp1bc4.tmp
- %TEMP%\tmp1c2d.tmp
- %TEMP%\tmp1dc2.tmp
Удаляет следующие файлы
- %TEMP%\tmp19f7.tmp
- %TEMP%\tmp1cc0.tmp
- %TEMP%\tmp1cd1.tmp
- %TEMP%\tmp1cd3.tmp
- %TEMP%\tmp1ce5.tmp
- %TEMP%\tmp1ce7.tmp
- %TEMP%\tmp1cf9.tmp
- %TEMP%\tmp1cfb.tmp
- %TEMP%\tmp1d0c.tmp
- %TEMP%\tmp1d0e.tmp
- %TEMP%\tmp1cac.tmp
- %TEMP%\tmp1cae.tmp
- %TEMP%\tmp1d20.tmp
- %TEMP%\tmp1d35.tmp
- %TEMP%\tmp1d47.tmp
- %TEMP%\tmp1d49.tmp
- %TEMP%\tmp1d5b.tmp
- %TEMP%\tmp1d5d.tmp
- %TEMP%\tmp1d6e.tmp
- %TEMP%\tmp1d70.tmp
- %TEMP%\tmp1d81.tmp
- %TEMP%\tmp1da1.tmp
- %TEMP%\tmp1d22.tmp
- %TEMP%\tmp1d33.tmp
- %TEMP%\tmp1c9b.tmp
- %TEMP%\tmp1c99.tmp
- %TEMP%\tmp1c87.tmp
- %TEMP%\tmp1ab6.tmp
- %TEMP%\tmp1ad7.tmp
- %TEMP%\tmp1ae9.tmp
- %TEMP%\tmp1afa.tmp
- %TEMP%\tmp1b2b.tmp
- %TEMP%\tmp1b3d.tmp
- %TEMP%\tmp1b6d.tmp
- %TEMP%\tmp1b7f.tmp
- %TEMP%\tmp1b91.tmp
- %TEMP%\tmp1b93.tmp
- %TEMP%\tmp1aa4.tmp
- %TEMP%\tmp1bc3.tmp
- %TEMP%\tmp1be7.tmp
- %TEMP%\tmp1bf8.tmp
- %TEMP%\tmp1c0a.tmp
- %TEMP%\tmp1c2b.tmp
- %TEMP%\tmp1c2d.tmp
- %TEMP%\tmp1c3f.tmp
- %TEMP%\tmp1c60.tmp
- %TEMP%\tmp1c62.tmp
- %TEMP%\tmp1c73.tmp
- %TEMP%\tmp1c75.tmp
- %TEMP%\tmp1bd5.tmp
- %TEMP%\tmp1dc1.tmp
- %TEMP%\tmp1dc2.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://ut##y.xyz/IRemotePanel
UDP
- DNS ASK ut##y.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
