Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\win32.exe
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpb25d.tmp
- %TEMP%\tmpb4b9.tmp
- %TEMP%\tmpb4b8.tmp
- %TEMP%\tmpb4b7.tmp
- %TEMP%\tmpb4a6.tmp
- %TEMP%\tmpb4a5.tmp
- %TEMP%\tmpb4a4.tmp
- %TEMP%\tmpb4a3.tmp
- %TEMP%\tmpb493.tmp
- %TEMP%\tmpb482.tmp
- %TEMP%\tmpb481.tmp
- %TEMP%\tmpb480.tmp
- %TEMP%\tmpb47f.tmp
- %TEMP%\tmpb46e.tmp
- %TEMP%\tmpb46d.tmp
- %TEMP%\tmpb45d.tmp
- %TEMP%\tmpb45c.tmp
- %TEMP%\tmpb45b.tmp
- %TEMP%\tmpb45a.tmp
- %TEMP%\tmpb449.tmp
- %TEMP%\tmpb448.tmp
- %TEMP%\tmpb447.tmp
- %TEMP%\tmpb436.tmp
- %TEMP%\tmpb446.tmp
- %TEMP%\tmpb4ba.tmp
- %TEMP%\tmpb4ca.tmp
- %TEMP%\tmpb55d.tmp
- %TEMP%\tmpb54d.tmp
- %TEMP%\tmpb53c.tmp
- %TEMP%\tmpb53b.tmp
- %TEMP%\tmpb53a.tmp
- %TEMP%\tmpb529.tmp
- %TEMP%\tmpb528.tmp
- %TEMP%\tmpb527.tmp
- %TEMP%\tmpb526.tmp
- %TEMP%\tmpb516.tmp
- %TEMP%\tmpb514.tmp
- %TEMP%\tmpb3c9.tmp
- %TEMP%\tmpb503.tmp
- %TEMP%\tmpb502.tmp
- %TEMP%\tmpb4f2.tmp
- %TEMP%\tmpb4f1.tmp
- %TEMP%\tmpb4f0.tmp
- %TEMP%\tmpb4df.tmp
- %TEMP%\tmpb4de.tmp
- %TEMP%\tmpb4cd.tmp
- %TEMP%\tmpb4cc.tmp
- %TEMP%\tmpb4cb.tmp
- %TEMP%\tmpb435.tmp
- %TEMP%\tmpb434.tmp
- %TEMP%\tmpb423.tmp
- %TEMP%\tmpb35b.tmp
- %TEMP%\tmpb34b.tmp
- %TEMP%\tmpb34a.tmp
- %TEMP%\tmpb339.tmp
- %TEMP%\tmpb329.tmp
- %TEMP%\tmpb318.tmp
- %TEMP%\tmpb317.tmp
- %TEMP%\tmpb306.tmp
- %TEMP%\tmpb305.tmp
- %TEMP%\tmpb2f5.tmp
- %TEMP%\tmpb2e4.tmp
- %TEMP%\tmpb2e3.tmp
- %TEMP%\tmpb2d3.tmp
- %TEMP%\tmpb2d2.tmp
- %TEMP%\tmpb2d1.tmp
- %TEMP%\tmpb2c0.tmp
- %TEMP%\tmpb2bf.tmp
- %TEMP%\tmpb2ae.tmp
- %TEMP%\tmpb2ad.tmp
- %TEMP%\tmpb26e.tmp
- %TEMP%\tmpb36d.tmp
- %TEMP%\tmpb36e.tmp
- %TEMP%\tmpb35c.tmp
- %TEMP%\tmpb36f.tmp
- %TEMP%\tmpb422.tmp
- %TEMP%\tmpb380.tmp
- %TEMP%\tmpb411.tmp
- %TEMP%\tmpb410.tmp
- %TEMP%\tmpb400.tmp
- %TEMP%\tmpb3ff.tmp
- %TEMP%\tmpb3ee.tmp
- %TEMP%\tmpb3ed.tmp
- %TEMP%\tmpb3dd.tmp
- %TEMP%\tmpb3dc.tmp
- %TEMP%\tmpb3db.tmp
- %TEMP%\tmpb515.tmp
- %TEMP%\tmpb57d.tmp
- %TEMP%\tmpb3c8.tmp
- %TEMP%\tmpb3b7.tmp
- %TEMP%\tmpb3b6.tmp
- %TEMP%\tmpb3b5.tmp
- %TEMP%\tmpb3a5.tmp
- %TEMP%\tmpb3a4.tmp
- %TEMP%\tmpb3a3.tmp
- %TEMP%\tmpb392.tmp
- %TEMP%\tmpb391.tmp
- %TEMP%\tmpb381.tmp
- %TEMP%\tmpb3ca.tmp
- %TEMP%\tmpb58e.tmp
Удаляет следующие файлы
- %TEMP%\tmpb26e.tmp
- %TEMP%\tmpb45d.tmp
- %TEMP%\tmpb46e.tmp
- %TEMP%\tmpb480.tmp
- %TEMP%\tmpb482.tmp
- %TEMP%\tmpb4a3.tmp
- %TEMP%\tmpb4a5.tmp
- %TEMP%\tmpb4b7.tmp
- %TEMP%\tmpb4b9.tmp
- %TEMP%\tmpb4ca.tmp
- %TEMP%\tmpb449.tmp
- %TEMP%\tmpb45b.tmp
- %TEMP%\tmpb4cc.tmp
- %TEMP%\tmpb4f2.tmp
- %TEMP%\tmpb503.tmp
- %TEMP%\tmpb515.tmp
- %TEMP%\tmpb526.tmp
- %TEMP%\tmpb528.tmp
- %TEMP%\tmpb53a.tmp
- %TEMP%\tmpb53c.tmp
- %TEMP%\tmpb54d.tmp
- %TEMP%\tmpb55d.tmp
- %TEMP%\tmpb4de.tmp
- %TEMP%\tmpb4f0.tmp
- %TEMP%\tmpb447.tmp
- %TEMP%\tmpb436.tmp
- %TEMP%\tmpb434.tmp
- %TEMP%\tmpb2c0.tmp
- %TEMP%\tmpb2d2.tmp
- %TEMP%\tmpb2e3.tmp
- %TEMP%\tmpb2f5.tmp
- %TEMP%\tmpb306.tmp
- %TEMP%\tmpb318.tmp
- %TEMP%\tmpb339.tmp
- %TEMP%\tmpb34b.tmp
- %TEMP%\tmpb35c.tmp
- %TEMP%\tmpb36e.tmp
- %TEMP%\tmpb2ae.tmp
- %TEMP%\tmpb380.tmp
- %TEMP%\tmpb3a3.tmp
- %TEMP%\tmpb3a5.tmp
- %TEMP%\tmpb3b6.tmp
- %TEMP%\tmpb3c8.tmp
- %TEMP%\tmpb3ca.tmp
- %TEMP%\tmpb3dc.tmp
- %TEMP%\tmpb3ed.tmp
- %TEMP%\tmpb3ff.tmp
- %TEMP%\tmpb410.tmp
- %TEMP%\tmpb422.tmp
- %TEMP%\tmpb391.tmp
- %TEMP%\tmpb57d.tmp
- %TEMP%\tmpb58e.tmp
Сетевая активность
Подключается к
- '86.##5.252.119':81
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
- '86.##5.252.119':7766
TCP
Запросы HTTP POST
- http://86.###.252.119:81/ via 86.##5.252.119
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\win32.exe'
