Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\purefoe\noabu.exe
- %TEMP%\tmp8464.tmp
- %TEMP%\tmp8463.tmp
- %TEMP%\tmp8452.tmp
- %TEMP%\tmp8451.tmp
- %TEMP%\tmp8450.tmp
- %TEMP%\tmp844f.tmp
- %TEMP%\tmp844e.tmp
- %TEMP%\tmp844d.tmp
- %TEMP%\tmp843d.tmp
- %TEMP%\tmp843c.tmp
- %TEMP%\tmp8465.tmp
- %TEMP%\tmp843b.tmp
- %TEMP%\tmp8429.tmp
- %TEMP%\tmp8428.tmp
- %TEMP%\tmp8427.tmp
- %TEMP%\tmp8426.tmp
- %TEMP%\tmp8415.tmp
- %TEMP%\tmp8414.tmp
- %TEMP%\tmp8413.tmp
- %TEMP%\tmp8412.tmp
- %TEMP%\tmp8402.tmp
- %TEMP%\tmp8401.tmp
- %TEMP%\tmp843a.tmp
- %TEMP%\tmp84a2.tmp
- %TEMP%\tmp84fc.tmp
- %TEMP%\tmp8477.tmp
- %TEMP%\tmp84eb.tmp
- %TEMP%\tmp84da.tmp
- %TEMP%\tmp84d9.tmp
- %TEMP%\tmp84c9.tmp
- %TEMP%\tmp84c8.tmp
- %TEMP%\tmp84c7.tmp
- %TEMP%\tmp84b6.tmp
- %TEMP%\tmp84b5.tmp
- %TEMP%\tmp84b4.tmp
- %TEMP%\tmp84b3.tmp
- %TEMP%\tmp8400.tmp
- %TEMP%\tmp84a3.tmp
- %TEMP%\tmp84a1.tmp
- %TEMP%\tmp84a0.tmp
- %TEMP%\tmp848f.tmp
- %TEMP%\tmp848e.tmp
- %TEMP%\tmp848d.tmp
- %TEMP%\tmp848c.tmp
- %TEMP%\tmp847b.tmp
- %TEMP%\tmp847a.tmp
- %TEMP%\tmp8479.tmp
- %TEMP%\tmp8478.tmp
- %TEMP%\tmp8466.tmp
- %TEMP%\tmp8476.tmp
- %TEMP%\tmp83ff.tmp
- %TEMP%\tmp8368.tmp
- %TEMP%\tmp8355.tmp
- %TEMP%\tmp8354.tmp
- %TEMP%\tmp8353.tmp
- %TEMP%\tmp8352.tmp
- %TEMP%\tmp8342.tmp
- %TEMP%\tmp8341.tmp
- %TEMP%\tmp8330.tmp
- %TEMP%\tmp832f.tmp
- %TEMP%\tmp832e.tmp
- %TEMP%\tmp831e.tmp
- %TEMP%\tmp8366.tmp
- %TEMP%\tmp830d.tmp
- %TEMP%\tmp830b.tmp
- %TEMP%\tmp82fa.tmp
- %TEMP%\tmp82f9.tmp
- %TEMP%\tmp82f8.tmp
- %TEMP%\tmp82e8.tmp
- %TEMP%\tmp82d7.tmp
- %TEMP%\tmp82a7.tmp
- %TEMP%\tmp82a6.tmp
- %APPDATA%\purefoe\geo.txt
- %APPDATA%\purefoe\noabud.exe
- %TEMP%\tmp830c.tmp
- %TEMP%\tmp83b2.tmp
- %TEMP%\tmp83ed.tmp
- %TEMP%\tmp8379.tmp
- %TEMP%\tmp83ec.tmp
- %TEMP%\tmp83eb.tmp
- %TEMP%\tmp83db.tmp
- %TEMP%\tmp83da.tmp
- %TEMP%\tmp83d9.tmp
- %TEMP%\tmp83c8.tmp
- %TEMP%\tmp83c7.tmp
- %TEMP%\tmp83c6.tmp
- %TEMP%\tmp83c5.tmp
- %TEMP%\tmp83b4.tmp
- %TEMP%\tmp83ee.tmp
- %TEMP%\tmp83b3.tmp
- %TEMP%\tmp83a2.tmp
- %TEMP%\tmp83a1.tmp
- %TEMP%\tmp83a0.tmp
- %TEMP%\tmp839f.tmp
- %TEMP%\tmp838e.tmp
- %TEMP%\tmp838d.tmp
- %TEMP%\tmp838c.tmp
- %TEMP%\tmp837c.tmp
- %TEMP%\tmp837b.tmp
- %TEMP%\tmp837a.tmp
- %TEMP%\tmp8367.tmp
- %TEMP%\tmp850c.tmp
Удаляет следующие файлы
- %TEMP%\tmp82a7.tmp
- %TEMP%\tmp8429.tmp
- %TEMP%\tmp843b.tmp
- %TEMP%\tmp843d.tmp
- %TEMP%\tmp844e.tmp
- %TEMP%\tmp8450.tmp
- %TEMP%\tmp8452.tmp
- %TEMP%\tmp8464.tmp
- %TEMP%\tmp8466.tmp
- %TEMP%\tmp8477.tmp
- %TEMP%\tmp8415.tmp
- %TEMP%\tmp8427.tmp
- %TEMP%\tmp8479.tmp
- %TEMP%\tmp848f.tmp
- %TEMP%\tmp84a1.tmp
- %TEMP%\tmp84a3.tmp
- %TEMP%\tmp84b4.tmp
- %TEMP%\tmp84b6.tmp
- %TEMP%\tmp84c8.tmp
- %TEMP%\tmp84d9.tmp
- %TEMP%\tmp84da.tmp
- %TEMP%\tmp84eb.tmp
- %TEMP%\tmp847b.tmp
- %TEMP%\tmp848d.tmp
- %TEMP%\tmp8413.tmp
- %TEMP%\tmp8402.tmp
- %TEMP%\tmp8400.tmp
- %TEMP%\tmp82f9.tmp
- %TEMP%\tmp830b.tmp
- %TEMP%\tmp830d.tmp
- %TEMP%\tmp832e.tmp
- %TEMP%\tmp8330.tmp
- %TEMP%\tmp8342.tmp
- %TEMP%\tmp8353.tmp
- %TEMP%\tmp8355.tmp
- %TEMP%\tmp8367.tmp
- %TEMP%\tmp8379.tmp
- %TEMP%\tmp82e8.tmp
- %TEMP%\tmp837b.tmp
- %TEMP%\tmp838e.tmp
- %TEMP%\tmp83a0.tmp
- %TEMP%\tmp83a2.tmp
- %TEMP%\tmp83b3.tmp
- %TEMP%\tmp83c5.tmp
- %TEMP%\tmp83c7.tmp
- %TEMP%\tmp83d9.tmp
- %TEMP%\tmp83db.tmp
- %TEMP%\tmp83ec.tmp
- %TEMP%\tmp83ee.tmp
- %TEMP%\tmp838c.tmp
- %TEMP%\tmp84fc.tmp
- %TEMP%\tmp850c.tmp
Сетевая активность
Подключается к
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pu##foe.top':80
- 'ip##pi.com':80
- 'ma##d.xyz':80
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://ma##d.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pu##foe.top
- DNS ASK ip##pi.com
- DNS ASK ma##d.xyz
- DNS ASK ap#.ip.sb
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\purefoe\noabu.exe'
