Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\paperships\noabu.exe
- %TEMP%\tmpd0ce.tmp
- %TEMP%\tmpd0be.tmp
- %TEMP%\tmpd0bd.tmp
- %TEMP%\tmpd0bc.tmp
- %TEMP%\tmpd0bb.tmp
- %TEMP%\tmpd0ba.tmp
- %TEMP%\tmpd0a9.tmp
- %TEMP%\tmpd0a8.tmp
- %TEMP%\tmpd0a7.tmp
- %TEMP%\tmpd0a6.tmp
- %TEMP%\tmpd0cf.tmp
- %TEMP%\tmpd096.tmp
- %TEMP%\tmpd084.tmp
- %TEMP%\tmpd083.tmp
- %TEMP%\tmpd082.tmp
- %TEMP%\tmpd071.tmp
- %TEMP%\tmpd070.tmp
- %TEMP%\tmpd06f.tmp
- %TEMP%\tmpd05f.tmp
- %TEMP%\tmpd05e.tmp
- %TEMP%\tmpd05d.tmp
- %TEMP%\tmpd05c.tmp
- %TEMP%\tmpd095.tmp
- %TEMP%\tmpd10c.tmp
- %TEMP%\tmpd176.tmp
- %TEMP%\tmpd0d2.tmp
- %TEMP%\tmpd156.tmp
- %TEMP%\tmpd145.tmp
- %TEMP%\tmpd134.tmp
- %TEMP%\tmpd133.tmp
- %TEMP%\tmpd132.tmp
- %TEMP%\tmpd131.tmp
- %TEMP%\tmpd121.tmp
- %TEMP%\tmpd120.tmp
- %TEMP%\tmpd11f.tmp
- %TEMP%\tmpd11e.tmp
- %TEMP%\tmpd04b.tmp
- %TEMP%\tmpd10d.tmp
- %TEMP%\tmpd0fc.tmp
- %TEMP%\tmpd0fb.tmp
- %TEMP%\tmpd0fa.tmp
- %TEMP%\tmpd0f9.tmp
- %TEMP%\tmpd0f8.tmp
- %TEMP%\tmpd0e7.tmp
- %TEMP%\tmpd0e6.tmp
- %TEMP%\tmpd0e5.tmp
- %TEMP%\tmpd0e4.tmp
- %TEMP%\tmpd0e3.tmp
- %TEMP%\tmpd0d0.tmp
- %TEMP%\tmpd0d1.tmp
- %TEMP%\tmpd04a.tmp
- %TEMP%\tmpcfa4.tmp
- %TEMP%\tmpcf82.tmp
- %TEMP%\tmpcf81.tmp
- %TEMP%\tmpcf70.tmp
- %TEMP%\tmpcf6f.tmp
- %TEMP%\tmpcf5e.tmp
- %TEMP%\tmpcf5d.tmp
- %TEMP%\tmpcf5c.tmp
- %TEMP%\tmpcf4c.tmp
- %TEMP%\tmpcf4b.tmp
- %TEMP%\tmpcf3a.tmp
- %TEMP%\tmpcf92.tmp
- %TEMP%\tmpcf39.tmp
- %TEMP%\tmpcf28.tmp
- %TEMP%\tmpcf27.tmp
- %TEMP%\tmpcf26.tmp
- %TEMP%\tmpcf25.tmp
- %TEMP%\tmpcf14.tmp
- %TEMP%\tmpcf13.tmp
- %TEMP%\tmpced4.tmp
- %TEMP%\tmpcec3.tmp
- %APPDATA%\paperships\geo.txt
- %APPDATA%\paperships\noabud.exe
- %TEMP%\tmpcf38.tmp
- %TEMP%\tmpcffe.tmp
- %TEMP%\tmpd039.tmp
- %TEMP%\tmpcfa5.tmp
- %TEMP%\tmpd038.tmp
- %TEMP%\tmpd037.tmp
- %TEMP%\tmpd026.tmp
- %TEMP%\tmpd025.tmp
- %TEMP%\tmpd024.tmp
- %TEMP%\tmpd023.tmp
- %TEMP%\tmpd012.tmp
- %TEMP%\tmpd011.tmp
- %TEMP%\tmpd010.tmp
- %TEMP%\tmpd000.tmp
- %TEMP%\tmpd049.tmp
- %TEMP%\tmpcfff.tmp
- %TEMP%\tmpcfed.tmp
- %TEMP%\tmpcfec.tmp
- %TEMP%\tmpcfdc.tmp
- %TEMP%\tmpcfdb.tmp
- %TEMP%\tmpcfda.tmp
- %TEMP%\tmpcfc9.tmp
- %TEMP%\tmpcfc8.tmp
- %TEMP%\tmpcfb7.tmp
- %TEMP%\tmpcfb6.tmp
- %TEMP%\tmpcfb5.tmp
- %TEMP%\tmpcf93.tmp
- %TEMP%\tmpd177.tmp
Удаляет следующие файлы
- %TEMP%\tmpced4.tmp
- %TEMP%\tmpd084.tmp
- %TEMP%\tmpd096.tmp
- %TEMP%\tmpd0a7.tmp
- %TEMP%\tmpd0a9.tmp
- %TEMP%\tmpd0bb.tmp
- %TEMP%\tmpd0bd.tmp
- %TEMP%\tmpd0ce.tmp
- %TEMP%\tmpd0d0.tmp
- %TEMP%\tmpd0d2.tmp
- %TEMP%\tmpd070.tmp
- %TEMP%\tmpd082.tmp
- %TEMP%\tmpd0e4.tmp
- %TEMP%\tmpd0fa.tmp
- %TEMP%\tmpd0fc.tmp
- %TEMP%\tmpd10d.tmp
- %TEMP%\tmpd11f.tmp
- %TEMP%\tmpd121.tmp
- %TEMP%\tmpd132.tmp
- %TEMP%\tmpd134.tmp
- %TEMP%\tmpd145.tmp
- %TEMP%\tmpd156.tmp
- %TEMP%\tmpd0e6.tmp
- %TEMP%\tmpd0f8.tmp
- %TEMP%\tmpd05f.tmp
- %TEMP%\tmpd05d.tmp
- %TEMP%\tmpd04b.tmp
- %TEMP%\tmpcf26.tmp
- %TEMP%\tmpcf28.tmp
- %TEMP%\tmpcf39.tmp
- %TEMP%\tmpcf4b.tmp
- %TEMP%\tmpcf5c.tmp
- %TEMP%\tmpcf5e.tmp
- %TEMP%\tmpcf70.tmp
- %TEMP%\tmpcf82.tmp
- %TEMP%\tmpcf93.tmp
- %TEMP%\tmpcfa5.tmp
- %TEMP%\tmpcf14.tmp
- %TEMP%\tmpcfb6.tmp
- %TEMP%\tmpcfda.tmp
- %TEMP%\tmpcfdc.tmp
- %TEMP%\tmpcfed.tmp
- %TEMP%\tmpcfff.tmp
- %TEMP%\tmpd010.tmp
- %TEMP%\tmpd012.tmp
- %TEMP%\tmpd024.tmp
- %TEMP%\tmpd026.tmp
- %TEMP%\tmpd038.tmp
- %TEMP%\tmpd049.tmp
- %TEMP%\tmpcfc8.tmp
- %TEMP%\tmpd176.tmp
- %TEMP%\tmpd177.tmp
Сетевая активность
Подключается к
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pa###ships.top':80
- 'ip##pi.com':80
- 'nn##ch.xyz':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
Запросы HTTP POST
- http://nn##ch.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pa###ships.top
- DNS ASK ip##pi.com
- DNS ASK nn##ch.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\paperships\noabu.exe'
