Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp8a64.tmp
- %TEMP%\tmp8cfc.tmp
- %TEMP%\tmp8cfb.tmp
- %TEMP%\tmp8cfa.tmp
- %TEMP%\tmp8cf9.tmp
- %TEMP%\tmp8ce9.tmp
- %TEMP%\tmp8ce8.tmp
- %TEMP%\tmp8ce7.tmp
- %TEMP%\tmp8cd6.tmp
- %TEMP%\tmp8cd5.tmp
- %TEMP%\tmp8cd4.tmp
- %TEMP%\tmp8cc4.tmp
- %TEMP%\tmp8cc3.tmp
- %TEMP%\tmp8cb2.tmp
- %TEMP%\tmp8cb1.tmp
- %TEMP%\tmp8ca0.tmp
- %TEMP%\tmp8c9f.tmp
- %TEMP%\tmp8c9e.tmp
- %TEMP%\tmp8c8e.tmp
- %TEMP%\tmp8c8d.tmp
- %TEMP%\tmp8c8c.tmp
- %TEMP%\tmp8c7b.tmp
- %TEMP%\tmp8d0d.tmp
- %TEMP%\tmp8d0e.tmp
- %TEMP%\tmp8d0f.tmp
- %TEMP%\tmp8d10.tmp
- %TEMP%\tmp8dc2.tmp
- %TEMP%\tmp8da2.tmp
- %TEMP%\tmp8d91.tmp
- %TEMP%\tmp8d90.tmp
- %TEMP%\tmp8d80.tmp
- %TEMP%\tmp8d7f.tmp
- %TEMP%\tmp8d7e.tmp
- %TEMP%\tmp8d6d.tmp
- %TEMP%\tmp8d6c.tmp
- %TEMP%\tmp8d6b.tmp
- %TEMP%\tmp8d59.tmp
- %TEMP%\tmp8d5a.tmp
- %TEMP%\tmp8d58.tmp
- %TEMP%\tmp8d48.tmp
- %TEMP%\tmp8d47.tmp
- %TEMP%\tmp8d46.tmp
- %TEMP%\tmp8d35.tmp
- %TEMP%\tmp8d34.tmp
- %TEMP%\tmp8d33.tmp
- %TEMP%\tmp8d23.tmp
- %TEMP%\tmp8d22.tmp
- %TEMP%\tmp8d21.tmp
- %TEMP%\tmp8dd3.tmp
- %TEMP%\tmp8c7a.tmp
- %TEMP%\tmp8c79.tmp
- %TEMP%\tmp8c69.tmp
- %TEMP%\tmp8b63.tmp
- %TEMP%\tmp8b52.tmp
- %TEMP%\tmp8b51.tmp
- %TEMP%\tmp8b50.tmp
- %TEMP%\tmp8b3f.tmp
- %TEMP%\tmp8b3e.tmp
- %TEMP%\tmp8b2e.tmp
- %TEMP%\tmp8b2d.tmp
- %TEMP%\tmp8b1c.tmp
- %TEMP%\tmp8b1b.tmp
- %TEMP%\tmp8b0b.tmp
- %TEMP%\tmp8b0a.tmp
- %TEMP%\tmp8af9.tmp
- %TEMP%\tmp8af8.tmp
- %TEMP%\tmp8ae7.tmp
- %TEMP%\tmp8ae6.tmp
- %TEMP%\tmp8ad6.tmp
- %TEMP%\tmp8ad5.tmp
- %TEMP%\tmp8ac4.tmp
- %TEMP%\tmp8ac3.tmp
- %TEMP%\tmp8a84.tmp
- %TEMP%\tmp8b64.tmp
- %TEMP%\tmp8b65.tmp
- %TEMP%\tmp8b75.tmp
- %TEMP%\tmp8b76.tmp
- %TEMP%\tmp8c57.tmp
- %TEMP%\tmp8c46.tmp
- %TEMP%\tmp8c45.tmp
- %TEMP%\tmp8c44.tmp
- %TEMP%\tmp8c34.tmp
- %TEMP%\tmp8c33.tmp
- %TEMP%\tmp8c22.tmp
- %TEMP%\tmp8c21.tmp
- %TEMP%\tmp8c11.tmp
- %TEMP%\tmp8c00.tmp
- %TEMP%\tmp8bee.tmp
- %TEMP%\tmp8bff.tmp
- %TEMP%\tmp8bed.tmp
- %TEMP%\tmp8bec.tmp
- %TEMP%\tmp8bdc.tmp
- %TEMP%\tmp8bdb.tmp
- %TEMP%\tmp8bab.tmp
- %TEMP%\tmp8b9a.tmp
- %TEMP%\tmp8b99.tmp
- %TEMP%\tmp8b98.tmp
- %TEMP%\tmp8b88.tmp
- %TEMP%\tmp8b87.tmp
- %TEMP%\tmp8c58.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmp8a84.tmp
- %TEMP%\tmp8cb1.tmp
- %TEMP%\tmp8cc3.tmp
- %TEMP%\tmp8cd4.tmp
- %TEMP%\tmp8cd6.tmp
- %TEMP%\tmp8ce8.tmp
- %TEMP%\tmp8cf9.tmp
- %TEMP%\tmp8cfb.tmp
- %TEMP%\tmp8d0d.tmp
- %TEMP%\tmp8d0f.tmp
- %TEMP%\tmp8c8e.tmp
- %TEMP%\tmp8c9f.tmp
- %TEMP%\tmp8d21.tmp
- %TEMP%\tmp8d46.tmp
- %TEMP%\tmp8d48.tmp
- %TEMP%\tmp8d59.tmp
- %TEMP%\tmp8d6b.tmp
- %TEMP%\tmp8d6d.tmp
- %TEMP%\tmp8d7f.tmp
- %TEMP%\tmp8d90.tmp
- %TEMP%\tmp8d91.tmp
- %TEMP%\tmp8da2.tmp
- %TEMP%\tmp8d23.tmp
- %TEMP%\tmp8d34.tmp
- %TEMP%\tmp8c8c.tmp
- %TEMP%\tmp8c7a.tmp
- %TEMP%\tmp8c69.tmp
- %TEMP%\tmp8ad6.tmp
- %TEMP%\tmp8ae7.tmp
- %TEMP%\tmp8af9.tmp
- %TEMP%\tmp8b0b.tmp
- %TEMP%\tmp8b1c.tmp
- %TEMP%\tmp8b2e.tmp
- %TEMP%\tmp8b3f.tmp
- %TEMP%\tmp8b51.tmp
- %TEMP%\tmp8b63.tmp
- %TEMP%\tmp8b65.tmp
- %TEMP%\tmp8ac4.tmp
- %TEMP%\tmp8b76.tmp
- %TEMP%\tmp8b99.tmp
- %TEMP%\tmp8bab.tmp
- %TEMP%\tmp8bdc.tmp
- %TEMP%\tmp8bed.tmp
- %TEMP%\tmp8bff.tmp
- %TEMP%\tmp8c11.tmp
- %TEMP%\tmp8c22.tmp
- %TEMP%\tmp8c34.tmp
- %TEMP%\tmp8c45.tmp
- %TEMP%\tmp8c57.tmp
- %TEMP%\tmp8b88.tmp
- %TEMP%\tmp8dc2.tmp
- %TEMP%\tmp8dd3.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://google.com/generate_204
- http://ch#####.amazonaws.com/
Запросы HTTP POST
- http://re#######7.duckdns.org:35253/IRemotePanel via re#####957.duckdns.org
UDP
- DNS ASK google.com
- DNS ASK gi##.###hubusercontent.com
- DNS ASK re#####957.duckdns.org
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
