Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\addinprocess32.exe
- %TEMP%\tmp22a.tmp
- %TEMP%\tmp229.tmp
- %TEMP%\tmp228.tmp
- %TEMP%\tmp227.tmp
- %TEMP%\tmp217.tmp
- %TEMP%\tmp216.tmp
- %TEMP%\tmp215.tmp
- %TEMP%\tmp214.tmp
- %TEMP%\tmp213.tmp
- %TEMP%\tmp212.tmp
- %TEMP%\tmp201.tmp
- %TEMP%\tmp1f0.tmp
- %TEMP%\tmp1ef.tmp
- %TEMP%\tmp1ee.tmp
- %TEMP%\tmp1ed.tmp
- %TEMP%\tmp1ec.tmp
- %TEMP%\tmp18e.tmp
- %TEMP%\tmp18d.tmp
- %TEMP%\tmp15d.tmp
- %TEMP%\tmp15c.tmp
- %TEMP%\tmp15b.tmp
- %TEMP%\tmp22b.tmp
- %TEMP%\tmp22c.tmp
- %TEMP%\tmp22d.tmp
- %TEMP%\tmp23e.tmp
- %TEMP%\tmp292.tmp
- %TEMP%\tmp282.tmp
- %TEMP%\tmp281.tmp
- %TEMP%\tmp280.tmp
- %TEMP%\tmp27f.tmp
- %TEMP%\tmp27e.tmp
- %TEMP%\tmp26d.tmp
- %TEMP%\tmp26c.tmp
- %TEMP%\tmp26b.tmp
- %TEMP%\tmp26a.tmp
- %TEMP%\tmp268.tmp
- %TEMP%\tmp269.tmp
- %TEMP%\tmp257.tmp
- %TEMP%\tmp256.tmp
- %TEMP%\tmp255.tmp
- %TEMP%\tmp254.tmp
- %TEMP%\tmp253.tmp
- %TEMP%\tmp243.tmp
- %TEMP%\tmp242.tmp
- %TEMP%\tmp241.tmp
- %TEMP%\tmp240.tmp
- %TEMP%\tmp23f.tmp
- %TEMP%\tmp2a3.tmp
- %TEMP%\tmp15a.tmp
- %TEMP%\tmpec.tmp
- %TEMP%\tmpcc.tmp
- %TEMP%\tmpffb6.tmp
- %TEMP%\tmpffb5.tmp
- %TEMP%\tmpffb4.tmp
- %TEMP%\tmpffa3.tmp
- %TEMP%\tmpffa2.tmp
- %TEMP%\tmpffa1.tmp
- %TEMP%\tmpff91.tmp
- %TEMP%\tmpff90.tmp
- %TEMP%\tmpff8f.tmp
- %TEMP%\tmpff8e.tmp
- %TEMP%\tmpff7d.tmp
- %TEMP%\tmpff7c.tmp
- %TEMP%\tmpff7b.tmp
- %TEMP%\tmpff7a.tmp
- %TEMP%\tmpff6a.tmp
- %TEMP%\tmpff69.tmp
- %TEMP%\tmpff68.tmp
- %TEMP%\tmpff67.tmp
- %TEMP%\tmpff66.tmp
- %TEMP%\tmpff45.tmp
- %TEMP%\tmpff44.tmp
- %TEMP%\tmpffb7.tmp
- %TEMP%\tmpffb8.tmp
- %TEMP%\tmpffc9.tmp
- %TEMP%\tmpffca.tmp
- %TEMP%\tmp7c.tmp
- %TEMP%\tmp5b.tmp
- %TEMP%\tmp5a.tmp
- %TEMP%\tmp4a.tmp
- %TEMP%\tmp49.tmp
- %TEMP%\tmp48.tmp
- %TEMP%\tmp47.tmp
- %TEMP%\tmp46.tmp
- %TEMP%\tmp35.tmp
- %TEMP%\tmp15.tmp
- %TEMP%\tmp13.tmp
- %TEMP%\tmp14.tmp
- %TEMP%\tmp12.tmp
- %TEMP%\tmp2.tmp
- %TEMP%\tmp1.tmp
- %TEMP%\tmpffff.tmp
- %TEMP%\tmpfffe.tmp
- %TEMP%\tmpffde.tmp
- %TEMP%\tmpffdd.tmp
- %TEMP%\tmpffcd.tmp
- %TEMP%\tmpffcc.tmp
- %TEMP%\tmpffcb.tmp
- %TEMP%\tmp7d.tmp
- %TEMP%\tmp2a4.tmp
Удаляет следующие файлы
- %TEMP%\tmpff45.tmp
- %TEMP%\tmp1ef.tmp
- %TEMP%\tmp201.tmp
- %TEMP%\tmp213.tmp
- %TEMP%\tmp215.tmp
- %TEMP%\tmp217.tmp
- %TEMP%\tmp228.tmp
- %TEMP%\tmp22a.tmp
- %TEMP%\tmp22c.tmp
- %TEMP%\tmp23e.tmp
- %TEMP%\tmp18e.tmp
- %TEMP%\tmp1ed.tmp
- %TEMP%\tmp240.tmp
- %TEMP%\tmp255.tmp
- %TEMP%\tmp257.tmp
- %TEMP%\tmp269.tmp
- %TEMP%\tmp26b.tmp
- %TEMP%\tmp26d.tmp
- %TEMP%\tmp27f.tmp
- %TEMP%\tmp281.tmp
- %TEMP%\tmp282.tmp
- %TEMP%\tmp292.tmp
- %TEMP%\tmp242.tmp
- %TEMP%\tmp253.tmp
- %TEMP%\tmp15d.tmp
- %TEMP%\tmp15b.tmp
- %TEMP%\tmpec.tmp
- %TEMP%\tmpff69.tmp
- %TEMP%\tmpff7a.tmp
- %TEMP%\tmpff7c.tmp
- %TEMP%\tmpff8e.tmp
- %TEMP%\tmpff90.tmp
- %TEMP%\tmpffa1.tmp
- %TEMP%\tmpffa3.tmp
- %TEMP%\tmpffb5.tmp
- %TEMP%\tmpffb7.tmp
- %TEMP%\tmpffc9.tmp
- %TEMP%\tmpff67.tmp
- %TEMP%\tmpffcb.tmp
- %TEMP%\tmpffde.tmp
- %TEMP%\tmpffff.tmp
- %TEMP%\tmp2.tmp
- %TEMP%\tmp13.tmp
- %TEMP%\tmp15.tmp
- %TEMP%\tmp46.tmp
- %TEMP%\tmp48.tmp
- %TEMP%\tmp4a.tmp
- %TEMP%\tmp5b.tmp
- %TEMP%\tmp7d.tmp
- %TEMP%\tmpffcd.tmp
- %TEMP%\tmp2a3.tmp
- %TEMP%\tmp2a4.tmp
Сетевая активность
Подключается к
- 'google.com':443
- '18#.#06.212.86':3214
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
Запросы HTTP POST
- http://18#.##6.212.86:3214/ via 18#.#06.212.86
UDP
- DNS ASK google.com
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Создает и запускает на исполнение
- '%TEMP%\addinprocess32.exe'
