Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpcf6f.tmp
- %TEMP%\tmpd256.tmp
- %TEMP%\tmpd246.tmp
- %TEMP%\tmpd245.tmp
- %TEMP%\tmpd244.tmp
- %TEMP%\tmpd233.tmp
- %TEMP%\tmpd223.tmp
- %TEMP%\tmpd222.tmp
- %TEMP%\tmpd221.tmp
- %TEMP%\tmpd210.tmp
- %TEMP%\tmpd20f.tmp
- %TEMP%\tmpd1fe.tmp
- %TEMP%\tmpd1fd.tmp
- %TEMP%\tmpd1fc.tmp
- %TEMP%\tmpd1cd.tmp
- %TEMP%\tmpd1cc.tmp
- %TEMP%\tmpd1bb.tmp
- %TEMP%\tmpd1ba.tmp
- %TEMP%\tmpd1b9.tmp
- %TEMP%\tmpd1a8.tmp
- %TEMP%\tmpd1a7.tmp
- %TEMP%\tmpd197.tmp
- %TEMP%\tmpd195.tmp
- %TEMP%\tmpd196.tmp
- %TEMP%\tmpd257.tmp
- %TEMP%\tmpd258.tmp
- %TEMP%\tmpd2fb.tmp
- %TEMP%\tmpd2db.tmp
- %TEMP%\tmpd2ca.tmp
- %TEMP%\tmpd2c9.tmp
- %TEMP%\tmpd2c8.tmp
- %TEMP%\tmpd2b7.tmp
- %TEMP%\tmpd2b6.tmp
- %TEMP%\tmpd2b5.tmp
- %TEMP%\tmpd2a5.tmp
- %TEMP%\tmpd2a4.tmp
- %TEMP%\tmpd292.tmp
- %TEMP%\tmpd119.tmp
- %TEMP%\tmpd291.tmp
- %TEMP%\tmpd290.tmp
- %TEMP%\tmpd280.tmp
- %TEMP%\tmpd27f.tmp
- %TEMP%\tmpd27e.tmp
- %TEMP%\tmpd26d.tmp
- %TEMP%\tmpd26c.tmp
- %TEMP%\tmpd26b.tmp
- %TEMP%\tmpd25a.tmp
- %TEMP%\tmpd259.tmp
- %TEMP%\tmpd184.tmp
- %TEMP%\tmpd183.tmp
- %TEMP%\tmpd182.tmp
- %TEMP%\tmpd08c.tmp
- %TEMP%\tmpd07b.tmp
- %TEMP%\tmpd06b.tmp
- %TEMP%\tmpd06a.tmp
- %TEMP%\tmpd059.tmp
- %TEMP%\tmpd058.tmp
- %TEMP%\tmpd047.tmp
- %TEMP%\tmpd037.tmp
- %TEMP%\tmpd036.tmp
- %TEMP%\tmpd025.tmp
- %TEMP%\tmpd024.tmp
- %TEMP%\tmpd023.tmp
- %TEMP%\tmpd013.tmp
- %TEMP%\tmpd012.tmp
- %TEMP%\tmpd001.tmp
- %TEMP%\tmpd000.tmp
- %TEMP%\tmpcfef.tmp
- %TEMP%\tmpcfee.tmp
- %TEMP%\tmpcfde.tmp
- %TEMP%\tmpcf8f.tmp
- %TEMP%\tmpd09d.tmp
- %TEMP%\tmpd0ae.tmp
- %TEMP%\tmpd08d.tmp
- %TEMP%\tmpd0af.tmp
- %TEMP%\tmpd172.tmp
- %TEMP%\tmpd0c0.tmp
- %TEMP%\tmpd161.tmp
- %TEMP%\tmpd160.tmp
- %TEMP%\tmpd15f.tmp
- %TEMP%\tmpd14e.tmp
- %TEMP%\tmpd14d.tmp
- %TEMP%\tmpd13d.tmp
- %TEMP%\tmpd13c.tmp
- %TEMP%\tmpd12b.tmp
- %TEMP%\tmpd12a.tmp
- %TEMP%\tmpd2a3.tmp
- %TEMP%\tmpd31b.tmp
- %TEMP%\tmpd118.tmp
- %TEMP%\tmpd107.tmp
- %TEMP%\tmpd0f6.tmp
- %TEMP%\tmpd0f5.tmp
- %TEMP%\tmpd0f4.tmp
- %TEMP%\tmpd0e4.tmp
- %TEMP%\tmpd0e3.tmp
- %TEMP%\tmpd0d2.tmp
- %TEMP%\tmpd0d1.tmp
- %TEMP%\tmpd0c1.tmp
- %TEMP%\tmpd129.tmp
- %TEMP%\tmpd32c.tmp
Удаляет следующие файлы
- %TEMP%\tmpcf8f.tmp
- %TEMP%\tmpd1cc.tmp
- %TEMP%\tmpd1fc.tmp
- %TEMP%\tmpd1fe.tmp
- %TEMP%\tmpd210.tmp
- %TEMP%\tmpd222.tmp
- %TEMP%\tmpd233.tmp
- %TEMP%\tmpd245.tmp
- %TEMP%\tmpd256.tmp
- %TEMP%\tmpd258.tmp
- %TEMP%\tmpd1a8.tmp
- %TEMP%\tmpd1ba.tmp
- %TEMP%\tmpd25a.tmp
- %TEMP%\tmpd280.tmp
- %TEMP%\tmpd291.tmp
- %TEMP%\tmpd2a3.tmp
- %TEMP%\tmpd2a5.tmp
- %TEMP%\tmpd2b6.tmp
- %TEMP%\tmpd2c8.tmp
- %TEMP%\tmpd2ca.tmp
- %TEMP%\tmpd2db.tmp
- %TEMP%\tmpd2fb.tmp
- %TEMP%\tmpd26c.tmp
- %TEMP%\tmpd27e.tmp
- %TEMP%\tmpd197.tmp
- %TEMP%\tmpd195.tmp
- %TEMP%\tmpd183.tmp
- %TEMP%\tmpd000.tmp
- %TEMP%\tmpd012.tmp
- %TEMP%\tmpd023.tmp
- %TEMP%\tmpd025.tmp
- %TEMP%\tmpd037.tmp
- %TEMP%\tmpd058.tmp
- %TEMP%\tmpd06a.tmp
- %TEMP%\tmpd07b.tmp
- %TEMP%\tmpd08d.tmp
- %TEMP%\tmpd0ae.tmp
- %TEMP%\tmpcfee.tmp
- %TEMP%\tmpd0c0.tmp
- %TEMP%\tmpd0e3.tmp
- %TEMP%\tmpd0f4.tmp
- %TEMP%\tmpd0f6.tmp
- %TEMP%\tmpd118.tmp
- %TEMP%\tmpd129.tmp
- %TEMP%\tmpd12b.tmp
- %TEMP%\tmpd13d.tmp
- %TEMP%\tmpd14e.tmp
- %TEMP%\tmpd160.tmp
- %TEMP%\tmpd172.tmp
- %TEMP%\tmpd0d1.tmp
- %TEMP%\tmpd31b.tmp
- %TEMP%\tmpd32c.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://18#.###.148.63:35200/IRemotePanel via 18#.#50.148.63
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
