Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- chrome.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\chrome.exe
- %TEMP%\tmp19ee.tmp
- %TEMP%\tmp19ed.tmp
- %TEMP%\tmp19dd.tmp
- %TEMP%\tmp19dc.tmp
- %TEMP%\tmp19db.tmp
- %TEMP%\tmp19da.tmp
- %TEMP%\tmp19c9.tmp
- %TEMP%\tmp19c8.tmp
- %TEMP%\tmp19c7.tmp
- %TEMP%\tmp19c6.tmp
- %TEMP%\tmp19c5.tmp
- %TEMP%\tmp19c4.tmp
- %TEMP%\tmp19b4.tmp
- %TEMP%\tmp19b3.tmp
- %TEMP%\tmp19b2.tmp
- %TEMP%\tmp19b1.tmp
- %TEMP%\tmp19b0.tmp
- %TEMP%\tmp19af.tmp
- %TEMP%\tmp199e.tmp
- %TEMP%\tmp199d.tmp
- %TEMP%\tmp199c.tmp
- %TEMP%\tmp19ef.tmp
- %TEMP%\tmp19f0.tmp
- %TEMP%\tmp19f1.tmp
- %TEMP%\tmp19f2.tmp
- %TEMP%\tmp1a56.tmp
- %TEMP%\tmp1a46.tmp
- %TEMP%\tmp1a45.tmp
- %TEMP%\tmp1a44.tmp
- %TEMP%\tmp1a43.tmp
- %TEMP%\tmp1a42.tmp
- %TEMP%\tmp1a31.tmp
- %TEMP%\tmp1a30.tmp
- %TEMP%\tmp1a2f.tmp
- %TEMP%\tmp1a2e.tmp
- %TEMP%\tmp1a1d.tmp
- %TEMP%\tmp1a1e.tmp
- %TEMP%\tmp1a1c.tmp
- %TEMP%\tmp1a1b.tmp
- %TEMP%\tmp1a1a.tmp
- %TEMP%\tmp1a19.tmp
- %TEMP%\tmp1a18.tmp
- %TEMP%\tmp1a07.tmp
- %TEMP%\tmp1a06.tmp
- %TEMP%\tmp1a05.tmp
- %TEMP%\tmp1a04.tmp
- %TEMP%\tmp1a03.tmp
- %TEMP%\tmp1a77.tmp
- %TEMP%\tmp199b.tmp
- %TEMP%\tmp199a.tmp
- %TEMP%\tmp1999.tmp
- %TEMP%\tmp1910.tmp
- %TEMP%\tmp18ff.tmp
- %TEMP%\tmp18fe.tmp
- %TEMP%\tmp18fd.tmp
- %TEMP%\tmp18ed.tmp
- %TEMP%\tmp18ec.tmp
- %TEMP%\tmp18db.tmp
- %TEMP%\tmp18da.tmp
- %TEMP%\tmp18d9.tmp
- %TEMP%\tmp18c8.tmp
- %TEMP%\tmp18c7.tmp
- %TEMP%\tmp18a7.tmp
- %TEMP%\tmp18a6.tmp
- %TEMP%\tmp18a5.tmp
- %TEMP%\tmp18a4.tmp
- %TEMP%\tmp1894.tmp
- %TEMP%\tmp1893.tmp
- %TEMP%\tmp1892.tmp
- %TEMP%\tmp1891.tmp
- %TEMP%\tmp1861.tmp
- %TEMP%\tmp1850.tmp
- %TEMP%\tmp1911.tmp
- %TEMP%\tmp1912.tmp
- %TEMP%\tmp1913.tmp
- %TEMP%\tmp1923.tmp
- %TEMP%\tmp1987.tmp
- %TEMP%\tmp1986.tmp
- %TEMP%\tmp1976.tmp
- %TEMP%\tmp1975.tmp
- %TEMP%\tmp1974.tmp
- %TEMP%\tmp1973.tmp
- %TEMP%\tmp1962.tmp
- %TEMP%\tmp1961.tmp
- %TEMP%\tmp1960.tmp
- %TEMP%\tmp1950.tmp
- %TEMP%\tmp194e.tmp
- %TEMP%\tmp194f.tmp
- %TEMP%\tmp193d.tmp
- %TEMP%\tmp193c.tmp
- %TEMP%\tmp193b.tmp
- %TEMP%\tmp193a.tmp
- %TEMP%\tmp1939.tmp
- %TEMP%\tmp1928.tmp
- %TEMP%\tmp1927.tmp
- %TEMP%\tmp1926.tmp
- %TEMP%\tmp1925.tmp
- %TEMP%\tmp1924.tmp
- %TEMP%\tmp1988.tmp
- %TEMP%\tmp1a78.tmp
Удаляет следующие файлы
- %TEMP%\tmp1861.tmp
- %TEMP%\tmp19b4.tmp
- %TEMP%\tmp19c5.tmp
- %TEMP%\tmp19c7.tmp
- %TEMP%\tmp19c9.tmp
- %TEMP%\tmp19db.tmp
- %TEMP%\tmp19dd.tmp
- %TEMP%\tmp19ee.tmp
- %TEMP%\tmp19f0.tmp
- %TEMP%\tmp19f2.tmp
- %TEMP%\tmp19b0.tmp
- %TEMP%\tmp19b2.tmp
- %TEMP%\tmp1a04.tmp
- %TEMP%\tmp1a1a.tmp
- %TEMP%\tmp1a1c.tmp
- %TEMP%\tmp1a1e.tmp
- %TEMP%\tmp1a2f.tmp
- %TEMP%\tmp1a31.tmp
- %TEMP%\tmp1a43.tmp
- %TEMP%\tmp1a45.tmp
- %TEMP%\tmp1a46.tmp
- %TEMP%\tmp1a56.tmp
- %TEMP%\tmp1a06.tmp
- %TEMP%\tmp1a18.tmp
- %TEMP%\tmp199e.tmp
- %TEMP%\tmp199c.tmp
- %TEMP%\tmp199a.tmp
- %TEMP%\tmp1894.tmp
- %TEMP%\tmp18a5.tmp
- %TEMP%\tmp18a7.tmp
- %TEMP%\tmp18c8.tmp
- %TEMP%\tmp18da.tmp
- %TEMP%\tmp18ec.tmp
- %TEMP%\tmp18fd.tmp
- %TEMP%\tmp18ff.tmp
- %TEMP%\tmp1911.tmp
- %TEMP%\tmp1913.tmp
- %TEMP%\tmp1892.tmp
- %TEMP%\tmp1924.tmp
- %TEMP%\tmp1928.tmp
- %TEMP%\tmp193a.tmp
- %TEMP%\tmp193c.tmp
- %TEMP%\tmp194e.tmp
- %TEMP%\tmp1950.tmp
- %TEMP%\tmp1961.tmp
- %TEMP%\tmp1973.tmp
- %TEMP%\tmp1975.tmp
- %TEMP%\tmp1986.tmp
- %TEMP%\tmp1988.tmp
- %TEMP%\tmp1926.tmp
- %TEMP%\tmp1a77.tmp
- %TEMP%\tmp1a78.tmp
Сетевая активность
Подключается к
- '45.##2.215.39':35253
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\google\chrome\user data\default\chrome.exe'
