Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\grabber\508softwareandos.doc
- %ALLUSERSPROFILE%\decoder.exe
- %TEMP%\decoder.exe
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\dotnetzip-u1vdwxe3.tmp
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\computer.txt
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\screenshot.jpeg
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\browsers\history\history_opera.txt
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\processes.txt
- %TEMP%\ls178bf1bf000406f125ccaeb9.tmp
- %TEMP%\bd178bf1bf000406f125ccaeb9.tmp
- %TEMP%\.cmd
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %TEMP%\tempdatabase2021-02-24t14_24_41.5888000-08_001313
- %TEMP%\tempdatabase2021-02-24t14_24_41.4796000-08_001313
- %TEMP%\tempdatabase2021-02-24t14_24_41.2612000-08_001313
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\browsers\cookies\cookies_mozilla.txt
- %TEMP%\tempdatabase2021-02-24t14_24_41.0740000-08_001313
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\grabber\fi51.doc
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\grabber\february_catalogue__2015.doc
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- nul
Удаляет следующие файлы
- %TEMP%\bd178bf1bf000406f125ccaeb9.tmp
- %TEMP%\ls178bf1bf000406f125ccaeb9.tmp
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\browsers\cookies\cookies_mozilla.txt
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\browsers\history\history_opera.txt
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\computer.txt
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\grabber\508softwareandos.doc
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\grabber\february_catalogue__2015.doc
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\grabber\fi51.doc
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\processes.txt
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\32178bf1bf000406f125ccaeb9zxtljz\screenshot.jpeg
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\log_178bf1bf000406f125ccaeb9.zip
- %TEMP%\.cmd
Перемещает следующие файлы
- %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\dotnetzip-u1vdwxe3.tmp в %APPDATA%\drffjthwxuzzbjxwdftwwvh178bf1bf000406f125ccaeb932\log_178bf1bf000406f125ccaeb9.zip
Подменяет следующие файлы
- %TEMP%\bd178bf1bf000406f125ccaeb9.tmp
- %TEMP%\ls178bf1bf000406f125ccaeb9.tmp
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'microsoft.com':80
- 'f0####18.xsph.ru':80
TCP
Запросы HTTP POST
- http://f0####18.xsph.ru/gate.php
UDP
- DNS ASK ap#.#pify.org
- DNS ASK microsoft.com
- DNS ASK f0####18.xsph.ru
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\decoder.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\.cmd""
- '<SYSTEM32>\timeout.exe' 4
