Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\addinprocess32.exe
- %TEMP%\tmp7363.tmp
- %TEMP%\tmp7362.tmp
- %TEMP%\tmp7352.tmp
- %TEMP%\tmp7351.tmp
- %TEMP%\tmp7340.tmp
- %TEMP%\tmp733f.tmp
- %TEMP%\tmp733e.tmp
- %TEMP%\tmp733d.tmp
- %TEMP%\tmp732d.tmp
- %TEMP%\tmp732c.tmp
- %TEMP%\tmp732b.tmp
- %TEMP%\tmp731a.tmp
- %TEMP%\tmp7319.tmp
- %TEMP%\tmp7318.tmp
- %TEMP%\tmp7307.tmp
- %TEMP%\tmp7306.tmp
- %TEMP%\tmp7305.tmp
- %TEMP%\tmp7304.tmp
- %TEMP%\tmp72f4.tmp
- %TEMP%\tmp72f3.tmp
- %TEMP%\tmp72f2.tmp
- %TEMP%\tmp7364.tmp
- %TEMP%\tmp7375.tmp
- %TEMP%\tmp7376.tmp
- %TEMP%\tmp7377.tmp
- %TEMP%\tmp740a.tmp
- %TEMP%\tmp73f9.tmp
- %TEMP%\tmp73e9.tmp
- %TEMP%\tmp73e8.tmp
- %TEMP%\tmp73e7.tmp
- %TEMP%\tmp73d6.tmp
- %TEMP%\tmp73d5.tmp
- %TEMP%\tmp73d4.tmp
- %TEMP%\tmp73d3.tmp
- %TEMP%\tmp73c2.tmp
- %TEMP%\tmp73c0.tmp
- %TEMP%\tmp73c1.tmp
- %TEMP%\tmp73b0.tmp
- %TEMP%\tmp73af.tmp
- %TEMP%\tmp73ae.tmp
- %TEMP%\tmp73ad.tmp
- %TEMP%\tmp739c.tmp
- %TEMP%\tmp739b.tmp
- %TEMP%\tmp738b.tmp
- %TEMP%\tmp738a.tmp
- %TEMP%\tmp7389.tmp
- %TEMP%\tmp7378.tmp
- %TEMP%\tmp743a.tmp
- %TEMP%\tmp72f1.tmp
- %TEMP%\tmp72e0.tmp
- %TEMP%\tmp72df.tmp
- %TEMP%\tmp7208.tmp
- %TEMP%\tmp71f7.tmp
- %TEMP%\tmp71f6.tmp
- %TEMP%\tmp71e6.tmp
- %TEMP%\tmp71e5.tmp
- %TEMP%\tmp71d4.tmp
- %TEMP%\tmp71d3.tmp
- %TEMP%\tmp71c3.tmp
- %TEMP%\tmp71b2.tmp
- %TEMP%\tmp71b1.tmp
- %TEMP%\tmp71a0.tmp
- %TEMP%\tmp719f.tmp
- %TEMP%\tmp718f.tmp
- %TEMP%\tmp718e.tmp
- %TEMP%\tmp717d.tmp
- %TEMP%\tmp716d.tmp
- %TEMP%\tmp716c.tmp
- %TEMP%\tmp716b.tmp
- %TEMP%\tmp713b.tmp
- %TEMP%\tmp70fb.tmp
- %TEMP%\tmp70eb.tmp
- %TEMP%\tmp7209.tmp
- %TEMP%\tmp720a.tmp
- %TEMP%\tmp721b.tmp
- %TEMP%\tmp721c.tmp
- %TEMP%\tmp72ce.tmp
- %TEMP%\tmp72bd.tmp
- %TEMP%\tmp72bc.tmp
- %TEMP%\tmp72bb.tmp
- %TEMP%\tmp72aa.tmp
- %TEMP%\tmp72a9.tmp
- %TEMP%\tmp72a8.tmp
- %TEMP%\tmp7298.tmp
- %TEMP%\tmp7287.tmp
- %TEMP%\tmp7286.tmp
- %TEMP%\tmp7275.tmp
- %TEMP%\tmp7285.tmp
- %TEMP%\tmp7264.tmp
- %TEMP%\tmp7263.tmp
- %TEMP%\tmp7252.tmp
- %TEMP%\tmp7242.tmp
- %TEMP%\tmp7241.tmp
- %TEMP%\tmp7240.tmp
- %TEMP%\tmp722f.tmp
- %TEMP%\tmp722e.tmp
- %TEMP%\tmp722d.tmp
- %TEMP%\tmp721d.tmp
- %TEMP%\tmp72cf.tmp
- %TEMP%\tmp743b.tmp
Удаляет следующие файлы
- %TEMP%\tmp70fb.tmp
- %TEMP%\tmp7319.tmp
- %TEMP%\tmp732b.tmp
- %TEMP%\tmp732d.tmp
- %TEMP%\tmp733e.tmp
- %TEMP%\tmp7340.tmp
- %TEMP%\tmp7352.tmp
- %TEMP%\tmp7363.tmp
- %TEMP%\tmp7375.tmp
- %TEMP%\tmp7377.tmp
- %TEMP%\tmp7305.tmp
- %TEMP%\tmp7307.tmp
- %TEMP%\tmp7389.tmp
- %TEMP%\tmp73ae.tmp
- %TEMP%\tmp73b0.tmp
- %TEMP%\tmp73c1.tmp
- %TEMP%\tmp73d3.tmp
- %TEMP%\tmp73d5.tmp
- %TEMP%\tmp73e7.tmp
- %TEMP%\tmp73e9.tmp
- %TEMP%\tmp73f9.tmp
- %TEMP%\tmp740a.tmp
- %TEMP%\tmp738b.tmp
- %TEMP%\tmp739c.tmp
- %TEMP%\tmp72f4.tmp
- %TEMP%\tmp72f2.tmp
- %TEMP%\tmp72e0.tmp
- %TEMP%\tmp716d.tmp
- %TEMP%\tmp718e.tmp
- %TEMP%\tmp719f.tmp
- %TEMP%\tmp71b1.tmp
- %TEMP%\tmp71c3.tmp
- %TEMP%\tmp71d4.tmp
- %TEMP%\tmp71e6.tmp
- %TEMP%\tmp71f7.tmp
- %TEMP%\tmp7209.tmp
- %TEMP%\tmp721b.tmp
- %TEMP%\tmp716b.tmp
- %TEMP%\tmp721d.tmp
- %TEMP%\tmp7240.tmp
- %TEMP%\tmp7242.tmp
- %TEMP%\tmp7263.tmp
- %TEMP%\tmp7275.tmp
- %TEMP%\tmp7286.tmp
- %TEMP%\tmp7298.tmp
- %TEMP%\tmp72a9.tmp
- %TEMP%\tmp72bb.tmp
- %TEMP%\tmp72bd.tmp
- %TEMP%\tmp72cf.tmp
- %TEMP%\tmp722e.tmp
- %TEMP%\tmp743a.tmp
- %TEMP%\tmp743b.tmp
Сетевая активность
TCP
Запросы HTTP POST
- http://18#.###.232.165:37777/IRemotePanel via 18#.#20.232.165
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Создает и запускает на исполнение
- '%TEMP%\addinprocess32.exe'
