Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp28a5.tmp
- %TEMP%\tmp2a93.tmp
- %TEMP%\tmp2a92.tmp
- %TEMP%\tmp2a91.tmp
- %TEMP%\tmp2a81.tmp
- %TEMP%\tmp2a80.tmp
- %TEMP%\tmp2a7f.tmp
- %TEMP%\tmp2a7e.tmp
- %TEMP%\tmp2a7d.tmp
- %TEMP%\tmp2a6c.tmp
- %TEMP%\tmp2a6b.tmp
- %TEMP%\tmp2a6a.tmp
- %TEMP%\tmp2a69.tmp
- %TEMP%\tmp2a59.tmp
- %TEMP%\tmp2a58.tmp
- %TEMP%\tmp2a57.tmp
- %TEMP%\tmp2a56.tmp
- %TEMP%\tmp2a45.tmp
- %TEMP%\tmp2a44.tmp
- %TEMP%\tmp2a43.tmp
- %TEMP%\tmp2a42.tmp
- %TEMP%\tmp2a31.tmp
- %TEMP%\tmp2a2f.tmp
- %TEMP%\tmp2a30.tmp
- %TEMP%\tmp2a94.tmp
- %TEMP%\tmp2a95.tmp
- %TEMP%\tmp2b28.tmp
- %TEMP%\tmp2b18.tmp
- %TEMP%\tmp2b17.tmp
- %TEMP%\tmp2b06.tmp
- %TEMP%\tmp2b05.tmp
- %TEMP%\tmp2af4.tmp
- %TEMP%\tmp2af3.tmp
- %TEMP%\tmp2af2.tmp
- %TEMP%\tmp2af1.tmp
- %TEMP%\tmp2ae1.tmp
- %TEMP%\tmp2acf.tmp
- %TEMP%\tmp29b3.tmp
- %TEMP%\tmp2ace.tmp
- %TEMP%\tmp2acd.tmp
- %TEMP%\tmp2abd.tmp
- %TEMP%\tmp2abc.tmp
- %TEMP%\tmp2abb.tmp
- %TEMP%\tmp2aba.tmp
- %TEMP%\tmp2aa9.tmp
- %TEMP%\tmp2aa8.tmp
- %TEMP%\tmp2aa7.tmp
- %TEMP%\tmp2aa6.tmp
- %TEMP%\tmp2a2e.tmp
- %TEMP%\tmp2a0e.tmp
- %TEMP%\tmp2a0d.tmp
- %TEMP%\tmp2955.tmp
- %TEMP%\tmp2954.tmp
- %TEMP%\tmp2953.tmp
- %TEMP%\tmp2943.tmp
- %TEMP%\tmp2942.tmp
- %TEMP%\tmp2931.tmp
- %TEMP%\tmp2930.tmp
- %TEMP%\tmp292f.tmp
- %TEMP%\tmp291e.tmp
- %TEMP%\tmp291d.tmp
- %TEMP%\tmp290d.tmp
- %TEMP%\tmp290c.tmp
- %TEMP%\tmp290b.tmp
- %TEMP%\tmp28fa.tmp
- %TEMP%\tmp28f9.tmp
- %TEMP%\tmp28f8.tmp
- %TEMP%\tmp28e8.tmp
- %TEMP%\tmp28e7.tmp
- %TEMP%\tmp28e6.tmp
- %TEMP%\tmp28b6.tmp
- %TEMP%\tmp2967.tmp
- %TEMP%\tmp2968.tmp
- %TEMP%\tmp2966.tmp
- %TEMP%\tmp2969.tmp
- %TEMP%\tmp2a0c.tmp
- %TEMP%\tmp2979.tmp
- %TEMP%\tmp29fc.tmp
- %TEMP%\tmp29fb.tmp
- %TEMP%\tmp29ea.tmp
- %TEMP%\tmp29e9.tmp
- %TEMP%\tmp29e8.tmp
- %TEMP%\tmp29d7.tmp
- %TEMP%\tmp29d6.tmp
- %TEMP%\tmp29c6.tmp
- %TEMP%\tmp29c5.tmp
- %TEMP%\tmp2ae0.tmp
- %TEMP%\tmp2b39.tmp
- %TEMP%\tmp29b2.tmp
- %TEMP%\tmp29a2.tmp
- %TEMP%\tmp29a1.tmp
- %TEMP%\tmp29a0.tmp
- %TEMP%\tmp298f.tmp
- %TEMP%\tmp298e.tmp
- %TEMP%\tmp298d.tmp
- %TEMP%\tmp297c.tmp
- %TEMP%\tmp297b.tmp
- %TEMP%\tmp297a.tmp
- %TEMP%\tmp29b4.tmp
- %TEMP%\tmp2b49.tmp
Удаляет следующие файлы
- %TEMP%\tmp28b6.tmp
- %TEMP%\tmp2a57.tmp
- %TEMP%\tmp2a59.tmp
- %TEMP%\tmp2a6a.tmp
- %TEMP%\tmp2a6c.tmp
- %TEMP%\tmp2a7e.tmp
- %TEMP%\tmp2a80.tmp
- %TEMP%\tmp2a91.tmp
- %TEMP%\tmp2a93.tmp
- %TEMP%\tmp2a95.tmp
- %TEMP%\tmp2a43.tmp
- %TEMP%\tmp2a45.tmp
- %TEMP%\tmp2aa7.tmp
- %TEMP%\tmp2abd.tmp
- %TEMP%\tmp2ace.tmp
- %TEMP%\tmp2ae0.tmp
- %TEMP%\tmp2af1.tmp
- %TEMP%\tmp2af3.tmp
- %TEMP%\tmp2b05.tmp
- %TEMP%\tmp2b17.tmp
- %TEMP%\tmp2b18.tmp
- %TEMP%\tmp2b28.tmp
- %TEMP%\tmp2aa9.tmp
- %TEMP%\tmp2abb.tmp
- %TEMP%\tmp2a31.tmp
- %TEMP%\tmp2a2f.tmp
- %TEMP%\tmp2a0e.tmp
- %TEMP%\tmp28f8.tmp
- %TEMP%\tmp28fa.tmp
- %TEMP%\tmp290c.tmp
- %TEMP%\tmp291d.tmp
- %TEMP%\tmp292f.tmp
- %TEMP%\tmp2931.tmp
- %TEMP%\tmp2943.tmp
- %TEMP%\tmp2954.tmp
- %TEMP%\tmp2966.tmp
- %TEMP%\tmp2968.tmp
- %TEMP%\tmp28e7.tmp
- %TEMP%\tmp2979.tmp
- %TEMP%\tmp298d.tmp
- %TEMP%\tmp298f.tmp
- %TEMP%\tmp29a1.tmp
- %TEMP%\tmp29b2.tmp
- %TEMP%\tmp29b4.tmp
- %TEMP%\tmp29c6.tmp
- %TEMP%\tmp29d7.tmp
- %TEMP%\tmp29e9.tmp
- %TEMP%\tmp29fb.tmp
- %TEMP%\tmp2a0c.tmp
- %TEMP%\tmp297b.tmp
- %TEMP%\tmp2b39.tmp
- %TEMP%\tmp2b49.tmp
Сетевая активность
Подключается к
- '45.##0.147.31':3214
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://45.###.147.31:3214/ via 45.##0.147.31
UDP
- DNS ASK ap#.ip.sb
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
