Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpab2d.tmp
- %TEMP%\tmpacdc.tmp
- %TEMP%\tmpacdb.tmp
- %TEMP%\tmpaccb.tmp
- %TEMP%\tmpacca.tmp
- %TEMP%\tmpacc9.tmp
- %TEMP%\tmpacc8.tmp
- %TEMP%\tmpacb7.tmp
- %TEMP%\tmpacb6.tmp
- %TEMP%\tmpacb5.tmp
- %TEMP%\tmpacb4.tmp
- %TEMP%\tmpaca4.tmp
- %TEMP%\tmpaca3.tmp
- %TEMP%\tmpaca2.tmp
- %TEMP%\tmpaca1.tmp
- %TEMP%\tmpac90.tmp
- %TEMP%\tmpac8f.tmp
- %TEMP%\tmpac7e.tmp
- %TEMP%\tmpac7d.tmp
- %TEMP%\tmpac7c.tmp
- %TEMP%\tmpac7b.tmp
- %TEMP%\tmpac6b.tmp
- %TEMP%\tmpac69.tmp
- %TEMP%\tmpac6a.tmp
- %TEMP%\tmpacdd.tmp
- %TEMP%\tmpacde.tmp
- %TEMP%\tmpad62.tmp
- %TEMP%\tmpad51.tmp
- %TEMP%\tmpad40.tmp
- %TEMP%\tmpad3f.tmp
- %TEMP%\tmpad3e.tmp
- %TEMP%\tmpad3d.tmp
- %TEMP%\tmpad2d.tmp
- %TEMP%\tmpad2c.tmp
- %TEMP%\tmpad2b.tmp
- %TEMP%\tmpad2a.tmp
- %TEMP%\tmpad18.tmp
- %TEMP%\tmpac0c.tmp
- %TEMP%\tmpad17.tmp
- %TEMP%\tmpad16.tmp
- %TEMP%\tmpad06.tmp
- %TEMP%\tmpad05.tmp
- %TEMP%\tmpad04.tmp
- %TEMP%\tmpad03.tmp
- %TEMP%\tmpacf2.tmp
- %TEMP%\tmpacf1.tmp
- %TEMP%\tmpacf0.tmp
- %TEMP%\tmpacef.tmp
- %TEMP%\tmpac68.tmp
- %TEMP%\tmpac67.tmp
- %TEMP%\tmpac56.tmp
- %TEMP%\tmpabbd.tmp
- %TEMP%\tmpabbc.tmp
- %TEMP%\tmpabbb.tmp
- %TEMP%\tmpabab.tmp
- %TEMP%\tmpabaa.tmp
- %TEMP%\tmpaba9.tmp
- %TEMP%\tmpab98.tmp
- %TEMP%\tmpab88.tmp
- %TEMP%\tmpab87.tmp
- %TEMP%\tmpab86.tmp
- %TEMP%\tmpab75.tmp
- %TEMP%\tmpab74.tmp
- %TEMP%\tmpab73.tmp
- %TEMP%\tmpab53.tmp
- %TEMP%\tmpab52.tmp
- %TEMP%\tmpab51.tmp
- %TEMP%\tmpab40.tmp
- %TEMP%\tmpab3f.tmp
- %TEMP%\tmpab3e.tmp
- %TEMP%\tmpab2e.tmp
- %TEMP%\tmpabcf.tmp
- %TEMP%\tmpabd0.tmp
- %TEMP%\tmpabce.tmp
- %TEMP%\tmpabd1.tmp
- %TEMP%\tmpac46.tmp
- %TEMP%\tmpabe2.tmp
- %TEMP%\tmpac45.tmp
- %TEMP%\tmpac44.tmp
- %TEMP%\tmpac43.tmp
- %TEMP%\tmpac32.tmp
- %TEMP%\tmpac31.tmp
- %TEMP%\tmpac30.tmp
- %TEMP%\tmpac2f.tmp
- %TEMP%\tmpac2e.tmp
- %TEMP%\tmpac1d.tmp
- %TEMP%\tmpad19.tmp
- %TEMP%\tmpad82.tmp
- %TEMP%\tmpac0b.tmp
- %TEMP%\tmpac0a.tmp
- %TEMP%\tmpac09.tmp
- %TEMP%\tmpabf8.tmp
- %TEMP%\tmpabf7.tmp
- %TEMP%\tmpabf6.tmp
- %TEMP%\tmpabf5.tmp
- %TEMP%\tmpabe5.tmp
- %TEMP%\tmpabe4.tmp
- %TEMP%\tmpabe3.tmp
- %TEMP%\tmpac1c.tmp
- %TEMP%\tmpad92.tmp
Удаляет следующие файлы
- %TEMP%\tmpab2e.tmp
- %TEMP%\tmpac90.tmp
- %TEMP%\tmpaca2.tmp
- %TEMP%\tmpaca4.tmp
- %TEMP%\tmpacb5.tmp
- %TEMP%\tmpacb7.tmp
- %TEMP%\tmpacc9.tmp
- %TEMP%\tmpaccb.tmp
- %TEMP%\tmpacdc.tmp
- %TEMP%\tmpacde.tmp
- %TEMP%\tmpac7c.tmp
- %TEMP%\tmpac7e.tmp
- %TEMP%\tmpacf0.tmp
- %TEMP%\tmpad06.tmp
- %TEMP%\tmpad17.tmp
- %TEMP%\tmpad19.tmp
- %TEMP%\tmpad2b.tmp
- %TEMP%\tmpad2d.tmp
- %TEMP%\tmpad3e.tmp
- %TEMP%\tmpad40.tmp
- %TEMP%\tmpad51.tmp
- %TEMP%\tmpad62.tmp
- %TEMP%\tmpacf2.tmp
- %TEMP%\tmpad04.tmp
- %TEMP%\tmpac6b.tmp
- %TEMP%\tmpac69.tmp
- %TEMP%\tmpac67.tmp
- %TEMP%\tmpab51.tmp
- %TEMP%\tmpab53.tmp
- %TEMP%\tmpab74.tmp
- %TEMP%\tmpab86.tmp
- %TEMP%\tmpab88.tmp
- %TEMP%\tmpaba9.tmp
- %TEMP%\tmpabab.tmp
- %TEMP%\tmpabbc.tmp
- %TEMP%\tmpabce.tmp
- %TEMP%\tmpabd0.tmp
- %TEMP%\tmpab3f.tmp
- %TEMP%\tmpabe2.tmp
- %TEMP%\tmpabf5.tmp
- %TEMP%\tmpabf7.tmp
- %TEMP%\tmpac09.tmp
- %TEMP%\tmpac0b.tmp
- %TEMP%\tmpac1c.tmp
- %TEMP%\tmpac2e.tmp
- %TEMP%\tmpac30.tmp
- %TEMP%\tmpac32.tmp
- %TEMP%\tmpac44.tmp
- %TEMP%\tmpac46.tmp
- %TEMP%\tmpabe4.tmp
- %TEMP%\tmpad82.tmp
- %TEMP%\tmpad92.tmp
Сетевая активность
Подключается к
- 'g.##sdcz.ru':443
- '45.##4.29.236':8888
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
Запросы HTTP POST
- http://45.###.29.236:8888/ via 45.##4.29.236
UDP
- DNS ASK g.##sdcz.ru
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
