Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- regasm.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2041131341.exe
- %TEMP%\tmpb8fb.tmp
- %TEMP%\tmpb8ea.tmp
- %TEMP%\tmpb8e9.tmp
- %TEMP%\tmpb8e8.tmp
- %TEMP%\tmpb8d8.tmp
- %TEMP%\tmpb8c7.tmp
- %TEMP%\tmpb8b6.tmp
- %TEMP%\tmpb8b5.tmp
- %TEMP%\tmpb886.tmp
- %TEMP%\tmpb885.tmp
- %TEMP%\tmpb8fc.tmp
- %TEMP%\tmpb874.tmp
- %TEMP%\tmpb862.tmp
- %TEMP%\tmpb861.tmp
- %TEMP%\tmpb841.tmp
- %TEMP%\tmpb831.tmp
- %TEMP%\tmpb830.tmp
- %TEMP%\tmpb82f.tmp
- %TEMP%\tmpb81e.tmp
- %TEMP%\tmpb81d.tmp
- %TEMP%\tmpb81c.tmp
- %TEMP%\tmpb80b.tmp
- %TEMP%\tmpb873.tmp
- %TEMP%\tmpb948.tmp
- %TEMP%\tmpb9c1.tmp
- %TEMP%\tmpb90e.tmp
- %TEMP%\tmpb992.tmp
- %TEMP%\tmpb971.tmp
- %TEMP%\tmpb970.tmp
- %TEMP%\tmpb96f.tmp
- %TEMP%\tmpb95f.tmp
- %TEMP%\tmpb95e.tmp
- %TEMP%\tmpb95d.tmp
- %TEMP%\tmpb95c.tmp
- %TEMP%\tmpb94b.tmp
- %TEMP%\tmpb94a.tmp
- %TEMP%\tmpb80a.tmp
- %TEMP%\tmpb949.tmp
- %TEMP%\tmpb947.tmp
- %TEMP%\tmpb937.tmp
- %TEMP%\tmpb936.tmp
- %TEMP%\tmpb935.tmp
- %TEMP%\tmpb934.tmp
- %TEMP%\tmpb923.tmp
- %TEMP%\tmpb922.tmp
- %TEMP%\tmpb921.tmp
- %TEMP%\tmpb920.tmp
- %TEMP%\tmpb90f.tmp
- %TEMP%\tmpb8fd.tmp
- %TEMP%\tmpb8fe.tmp
- %TEMP%\tmpb7fa.tmp
- %TEMP%\tmpb744.tmp
- %TEMP%\tmpb722.tmp
- %TEMP%\tmpb721.tmp
- %TEMP%\tmpb710.tmp
- %TEMP%\tmpb6ff.tmp
- %TEMP%\tmpb6fe.tmp
- %TEMP%\tmpb6fd.tmp
- %TEMP%\tmpb6dd.tmp
- %TEMP%\tmpb6dc.tmp
- %TEMP%\tmpb6cc.tmp
- %TEMP%\tmpb6cb.tmp
- %TEMP%\tmpb732.tmp
- %TEMP%\tmpb6ba.tmp
- %TEMP%\tmpb699.tmp
- %TEMP%\tmpb688.tmp
- %TEMP%\tmpb678.tmp
- %TEMP%\tmpb677.tmp
- %TEMP%\tmpb676.tmp
- %TEMP%\tmpb665.tmp
- %TEMP%\tmpb645.tmp
- %TEMP%\tmpb634.tmp
- %TEMP%\regasm.exe
- %TEMP%\1090905469.exe
- %TEMP%\tmpb6b9.tmp
- %TEMP%\tmpb78e.tmp
- %TEMP%\tmpb7e8.tmp
- %TEMP%\tmpb745.tmp
- %TEMP%\tmpb7e7.tmp
- %TEMP%\tmpb7d7.tmp
- %TEMP%\tmpb7d6.tmp
- %TEMP%\tmpb7c5.tmp
- %TEMP%\tmpb7c4.tmp
- %TEMP%\tmpb7b3.tmp
- %TEMP%\tmpb7b2.tmp
- %TEMP%\tmpb7b1.tmp
- %TEMP%\tmpb7a1.tmp
- %TEMP%\tmpb7a0.tmp
- %TEMP%\tmpb7f9.tmp
- %TEMP%\tmpb78f.tmp
- %TEMP%\tmpb78d.tmp
- %TEMP%\tmpb77d.tmp
- %TEMP%\tmpb77c.tmp
- %TEMP%\tmpb77b.tmp
- %TEMP%\tmpb76a.tmp
- %TEMP%\tmpb769.tmp
- %TEMP%\tmpb768.tmp
- %TEMP%\tmpb757.tmp
- %TEMP%\tmpb756.tmp
- %TEMP%\tmpb755.tmp
- %TEMP%\tmpb733.tmp
- %TEMP%\tmpb9c2.tmp
Удаляет следующие файлы
- %TEMP%\tmpb645.tmp
- %TEMP%\tmpb862.tmp
- %TEMP%\tmpb874.tmp
- %TEMP%\tmpb886.tmp
- %TEMP%\tmpb8b6.tmp
- %TEMP%\tmpb8d8.tmp
- %TEMP%\tmpb8e9.tmp
- %TEMP%\tmpb8fb.tmp
- %TEMP%\tmpb8fd.tmp
- %TEMP%\tmpb90e.tmp
- %TEMP%\tmpb830.tmp
- %TEMP%\tmpb841.tmp
- %TEMP%\tmpb920.tmp
- %TEMP%\tmpb936.tmp
- %TEMP%\tmpb947.tmp
- %TEMP%\tmpb949.tmp
- %TEMP%\tmpb94b.tmp
- %TEMP%\tmpb95d.tmp
- %TEMP%\tmpb95f.tmp
- %TEMP%\tmpb970.tmp
- %TEMP%\tmpb971.tmp
- %TEMP%\tmpb992.tmp
- %TEMP%\tmpb922.tmp
- %TEMP%\tmpb934.tmp
- %TEMP%\tmpb81e.tmp
- %TEMP%\tmpb81c.tmp
- %TEMP%\tmpb80a.tmp
- %TEMP%\tmpb678.tmp
- %TEMP%\tmpb699.tmp
- %TEMP%\tmpb6ba.tmp
- %TEMP%\tmpb6cc.tmp
- %TEMP%\tmpb6dd.tmp
- %TEMP%\tmpb6fe.tmp
- %TEMP%\tmpb710.tmp
- %TEMP%\tmpb722.tmp
- %TEMP%\tmpb733.tmp
- %TEMP%\tmpb745.tmp
- %TEMP%\tmpb676.tmp
- %TEMP%\tmpb756.tmp
- %TEMP%\tmpb76a.tmp
- %TEMP%\tmpb77c.tmp
- %TEMP%\tmpb78d.tmp
- %TEMP%\tmpb78f.tmp
- %TEMP%\tmpb7a1.tmp
- %TEMP%\tmpb7b2.tmp
- %TEMP%\tmpb7c4.tmp
- %TEMP%\tmpb7d6.tmp
- %TEMP%\tmpb7e7.tmp
- %TEMP%\tmpb7f9.tmp
- %TEMP%\tmpb768.tmp
- %TEMP%\tmpb9c1.tmp
- %TEMP%\tmpb9c2.tmp
Сетевая активность
Подключается к
- 'g.###enther.ru':443
- '0c#.#ldov.ru':443
- 'sl##v.ru':443
- '5u##.#tdenther.ru':443
- 'google.com':443
- 'bing.com':443
- '62.##9.7.229':80
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://62.##9.7.229/
UDP
- DNS ASK g.###enther.ru
- DNS ASK 0c#.#ldov.ru
- DNS ASK sl##v.ru
- DNS ASK 5u##.#tdenther.ru
- DNS ASK google.com
- DNS ASK bing.com
- DNS ASK ap#.ip.sb
Другое
Создает и запускает на исполнение
- '%TEMP%\2041131341.exe'
- '%TEMP%\1090905469.exe'
- '%TEMP%\regasm.exe'
