Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\paperships\noabu.exe
- %TEMP%\tmp1991.tmp
- %TEMP%\tmp1990.tmp
- %TEMP%\tmp197f.tmp
- %TEMP%\tmp197e.tmp
- %TEMP%\tmp197d.tmp
- %TEMP%\tmp197c.tmp
- %TEMP%\tmp196c.tmp
- %TEMP%\tmp196b.tmp
- %TEMP%\tmp196a.tmp
- %TEMP%\tmp1969.tmp
- %TEMP%\tmp1992.tmp
- %TEMP%\tmp1958.tmp
- %TEMP%\tmp1956.tmp
- %TEMP%\tmp1955.tmp
- %TEMP%\tmp1945.tmp
- %TEMP%\tmp1944.tmp
- %TEMP%\tmp1933.tmp
- %TEMP%\tmp1932.tmp
- %TEMP%\tmp1931.tmp
- %TEMP%\tmp1930.tmp
- %TEMP%\tmp191f.tmp
- %TEMP%\tmp191e.tmp
- %TEMP%\tmp1957.tmp
- %TEMP%\tmp1a1d.tmp
- %TEMP%\tmp1a86.tmp
- %TEMP%\tmp19a5.tmp
- %TEMP%\tmp1a57.tmp
- %TEMP%\tmp1a46.tmp
- %TEMP%\tmp1a45.tmp
- %TEMP%\tmp1a44.tmp
- %TEMP%\tmp1a33.tmp
- %TEMP%\tmp1a32.tmp
- %TEMP%\tmp1a31.tmp
- %TEMP%\tmp1a30.tmp
- %TEMP%\tmp1a20.tmp
- %TEMP%\tmp1a1f.tmp
- %TEMP%\tmp191d.tmp
- %TEMP%\tmp1a1e.tmp
- %TEMP%\tmp1a1c.tmp
- %TEMP%\tmp19dc.tmp
- %TEMP%\tmp19db.tmp
- %TEMP%\tmp19da.tmp
- %TEMP%\tmp19ca.tmp
- %TEMP%\tmp19c9.tmp
- %TEMP%\tmp19c8.tmp
- %TEMP%\tmp19b7.tmp
- %TEMP%\tmp19b6.tmp
- %TEMP%\tmp19b5.tmp
- %TEMP%\tmp19a3.tmp
- %TEMP%\tmp19a4.tmp
- %TEMP%\tmp191c.tmp
- %TEMP%\tmp1866.tmp
- %TEMP%\tmp1854.tmp
- %TEMP%\tmp1843.tmp
- %TEMP%\tmp1842.tmp
- %TEMP%\tmp1841.tmp
- %TEMP%\tmp1830.tmp
- %TEMP%\tmp182f.tmp
- %TEMP%\tmp181f.tmp
- %TEMP%\tmp181e.tmp
- %TEMP%\tmp180d.tmp
- %TEMP%\tmp17fd.tmp
- %TEMP%\tmp1855.tmp
- %TEMP%\tmp17fc.tmp
- %TEMP%\tmp17ea.tmp
- %TEMP%\tmp17e9.tmp
- %TEMP%\tmp17d8.tmp
- %TEMP%\tmp17d7.tmp
- %TEMP%\tmp17c7.tmp
- %TEMP%\tmp17c6.tmp
- %TEMP%\tmp1786.tmp
- %TEMP%\tmp1776.tmp
- %APPDATA%\paperships\geo.txt
- %APPDATA%\paperships\noabud.exe
- %TEMP%\tmp17fb.tmp
- %TEMP%\tmp18b1.tmp
- %TEMP%\tmp190b.tmp
- %TEMP%\tmp1867.tmp
- %TEMP%\tmp190a.tmp
- %TEMP%\tmp18f9.tmp
- %TEMP%\tmp18f8.tmp
- %TEMP%\tmp18d8.tmp
- %TEMP%\tmp18d7.tmp
- %TEMP%\tmp18d6.tmp
- %TEMP%\tmp18c5.tmp
- %TEMP%\tmp18c4.tmp
- %TEMP%\tmp18c3.tmp
- %TEMP%\tmp18b3.tmp
- %TEMP%\tmp190c.tmp
- %TEMP%\tmp18b2.tmp
- %TEMP%\tmp18a0.tmp
- %TEMP%\tmp189f.tmp
- %TEMP%\tmp189e.tmp
- %TEMP%\tmp189d.tmp
- %TEMP%\tmp188d.tmp
- %TEMP%\tmp188c.tmp
- %TEMP%\tmp188b.tmp
- %TEMP%\tmp187a.tmp
- %TEMP%\tmp1879.tmp
- %TEMP%\tmp1878.tmp
- %TEMP%\tmp1865.tmp
- %TEMP%\tmp1a87.tmp
Удаляет следующие файлы
- %TEMP%\tmp1786.tmp
- %TEMP%\tmp1956.tmp
- %TEMP%\tmp1958.tmp
- %TEMP%\tmp196a.tmp
- %TEMP%\tmp196c.tmp
- %TEMP%\tmp197d.tmp
- %TEMP%\tmp197f.tmp
- %TEMP%\tmp1991.tmp
- %TEMP%\tmp19a3.tmp
- %TEMP%\tmp19a5.tmp
- %TEMP%\tmp1933.tmp
- %TEMP%\tmp1945.tmp
- %TEMP%\tmp19b6.tmp
- %TEMP%\tmp19db.tmp
- %TEMP%\tmp1a1c.tmp
- %TEMP%\tmp1a1e.tmp
- %TEMP%\tmp1a20.tmp
- %TEMP%\tmp1a31.tmp
- %TEMP%\tmp1a33.tmp
- %TEMP%\tmp1a45.tmp
- %TEMP%\tmp1a46.tmp
- %TEMP%\tmp1a57.tmp
- %TEMP%\tmp19c8.tmp
- %TEMP%\tmp19ca.tmp
- %TEMP%\tmp1931.tmp
- %TEMP%\tmp191f.tmp
- %TEMP%\tmp191d.tmp
- %TEMP%\tmp17d8.tmp
- %TEMP%\tmp17ea.tmp
- %TEMP%\tmp17fc.tmp
- %TEMP%\tmp180d.tmp
- %TEMP%\tmp181f.tmp
- %TEMP%\tmp1830.tmp
- %TEMP%\tmp1842.tmp
- %TEMP%\tmp1854.tmp
- %TEMP%\tmp1865.tmp
- %TEMP%\tmp1867.tmp
- %TEMP%\tmp17c7.tmp
- %TEMP%\tmp1879.tmp
- %TEMP%\tmp188d.tmp
- %TEMP%\tmp189e.tmp
- %TEMP%\tmp18a0.tmp
- %TEMP%\tmp18b2.tmp
- %TEMP%\tmp18c3.tmp
- %TEMP%\tmp18c5.tmp
- %TEMP%\tmp18d7.tmp
- %TEMP%\tmp18f8.tmp
- %TEMP%\tmp190a.tmp
- %TEMP%\tmp190c.tmp
- %TEMP%\tmp188b.tmp
- %TEMP%\tmp1a86.tmp
- %TEMP%\tmp1a87.tmp
Сетевая активность
Подключается к
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pa###ships.top':80
- 'ip##pi.com':80
- 'ex###egu.xyz':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
Запросы HTTP POST
- http://ex###egu.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pa###ships.top
- DNS ASK ip##pi.com
- DNS ASK ex###egu.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\paperships\noabu.exe'
