Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp1351.tmp
- %TEMP%\tmp20a4.tmp
- %TEMP%\tmp2094.tmp
- %TEMP%\tmp2093.tmp
- %TEMP%\tmp2092.tmp
- %TEMP%\tmp2091.tmp
- %TEMP%\tmp2080.tmp
- %TEMP%\tmp2041.tmp
- %TEMP%\tmp2040.tmp
- %TEMP%\tmp203f.tmp
- %TEMP%\tmp203e.tmp
- %TEMP%\tmp202d.tmp
- %TEMP%\tmp202c.tmp
- %TEMP%\tmp1f32.tmp
- %TEMP%\tmp1f31.tmp
- %TEMP%\tmp1ea3.tmp
- %TEMP%\tmp1ea2.tmp
- %TEMP%\tmp1ea1.tmp
- %TEMP%\tmp1e91.tmp
- %TEMP%\tmp1d86.tmp
- %TEMP%\tmp1d85.tmp
- %TEMP%\tmp1d75.tmp
- %TEMP%\tmp1d63.tmp
- %TEMP%\tmp1d74.tmp
- %TEMP%\tmp20a5.tmp
- %TEMP%\tmp20a6.tmp
- %TEMP%\tmp2455.tmp
- %TEMP%\tmp22ce.tmp
- %TEMP%\tmp2250.tmp
- %TEMP%\tmp224f.tmp
- %TEMP%\tmp223e.tmp
- %TEMP%\tmp223d.tmp
- %TEMP%\tmp21c0.tmp
- %TEMP%\tmp21bf.tmp
- %TEMP%\tmp21ae.tmp
- %TEMP%\tmp21ad.tmp
- %TEMP%\tmp21ab.tmp
- %TEMP%\tmp1b03.tmp
- %TEMP%\tmp219a.tmp
- %TEMP%\tmp2199.tmp
- %TEMP%\tmp212b.tmp
- %TEMP%\tmp212a.tmp
- %TEMP%\tmp211a.tmp
- %TEMP%\tmp2119.tmp
- %TEMP%\tmp2118.tmp
- %TEMP%\tmp2107.tmp
- %TEMP%\tmp2106.tmp
- %TEMP%\tmp2105.tmp
- %TEMP%\tmp1d62.tmp
- %TEMP%\tmp1c68.tmp
- %TEMP%\tmp1c38.tmp
- %TEMP%\tmp1a19.tmp
- %TEMP%\tmp19ba.tmp
- %TEMP%\tmp19b9.tmp
- %TEMP%\tmp19a9.tmp
- %TEMP%\tmp18dd.tmp
- %TEMP%\tmp18cc.tmp
- %TEMP%\tmp18cb.tmp
- %TEMP%\tmp17c1.tmp
- %TEMP%\tmp17c0.tmp
- %TEMP%\tmp1733.tmp
- %TEMP%\tmp1732.tmp
- %TEMP%\tmp1731.tmp
- %TEMP%\tmp1720.tmp
- %TEMP%\tmp1606.tmp
- %TEMP%\tmp15f6.tmp
- %TEMP%\tmp1578.tmp
- %TEMP%\tmp1577.tmp
- %TEMP%\tmp1566.tmp
- %TEMP%\tmp1565.tmp
- %TEMP%\tmp1352.tmp
- %TEMP%\tmp1a1b.tmp
- %TEMP%\tmp1a2c.tmp
- %TEMP%\tmp1a1a.tmp
- %TEMP%\tmp1a2d.tmp
- %TEMP%\tmp1c18.tmp
- %TEMP%\tmp1a2e.tmp
- %TEMP%\tmp1c07.tmp
- %TEMP%\tmp1be7.tmp
- %TEMP%\tmp1be6.tmp
- %TEMP%\tmp1b68.tmp
- %TEMP%\tmp1b67.tmp
- %TEMP%\tmp1b56.tmp
- %TEMP%\tmp1b55.tmp
- %TEMP%\tmp1b54.tmp
- %TEMP%\tmp1b44.tmp
- %TEMP%\tmp21ac.tmp
- %TEMP%\tmp24c3.tmp
- %TEMP%\tmp1ad4.tmp
- %TEMP%\tmp1ac3.tmp
- %TEMP%\tmp1ac2.tmp
- %TEMP%\tmp1ac1.tmp
- %TEMP%\tmp1ac0.tmp
- %TEMP%\tmp1aaf.tmp
- %TEMP%\tmp1aae.tmp
- %TEMP%\tmp1aad.tmp
- %TEMP%\tmp1a3f.tmp
- %TEMP%\tmp1a2f.tmp
- %TEMP%\tmp1b04.tmp
- %TEMP%\tmp259e.tmp
Удаляет следующие файлы
- %TEMP%\tmp1352.tmp
- %TEMP%\tmp1ea3.tmp
- %TEMP%\tmp1f32.tmp
- %TEMP%\tmp202d.tmp
- %TEMP%\tmp203f.tmp
- %TEMP%\tmp2041.tmp
- %TEMP%\tmp2091.tmp
- %TEMP%\tmp2093.tmp
- %TEMP%\tmp20a4.tmp
- %TEMP%\tmp20a6.tmp
- %TEMP%\tmp1d86.tmp
- %TEMP%\tmp1ea1.tmp
- %TEMP%\tmp2106.tmp
- %TEMP%\tmp212b.tmp
- %TEMP%\tmp219a.tmp
- %TEMP%\tmp21ac.tmp
- %TEMP%\tmp21ae.tmp
- %TEMP%\tmp21c0.tmp
- %TEMP%\tmp223e.tmp
- %TEMP%\tmp2250.tmp
- %TEMP%\tmp22ce.tmp
- %TEMP%\tmp2455.tmp
- %TEMP%\tmp2118.tmp
- %TEMP%\tmp211a.tmp
- %TEMP%\tmp1d75.tmp
- %TEMP%\tmp1d63.tmp
- %TEMP%\tmp1c68.tmp
- %TEMP%\tmp1578.tmp
- %TEMP%\tmp1606.tmp
- %TEMP%\tmp1731.tmp
- %TEMP%\tmp1733.tmp
- %TEMP%\tmp17c1.tmp
- %TEMP%\tmp18cc.tmp
- %TEMP%\tmp19a9.tmp
- %TEMP%\tmp19ba.tmp
- %TEMP%\tmp1a1a.tmp
- %TEMP%\tmp1a2c.tmp
- %TEMP%\tmp1566.tmp
- %TEMP%\tmp1a2e.tmp
- %TEMP%\tmp1aae.tmp
- %TEMP%\tmp1ac0.tmp
- %TEMP%\tmp1ac2.tmp
- %TEMP%\tmp1ad4.tmp
- %TEMP%\tmp1b04.tmp
- %TEMP%\tmp1b54.tmp
- %TEMP%\tmp1b56.tmp
- %TEMP%\tmp1b68.tmp
- %TEMP%\tmp1be7.tmp
- %TEMP%\tmp1c18.tmp
- %TEMP%\tmp1a3f.tmp
- %TEMP%\tmp24c3.tmp
- %TEMP%\tmp259e.tmp
Сетевая активность
Подключается к
- '19#.#35.20.72':3214
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://19#.##5.20.72:3214/ via 19#.#35.20.72
UDP
- DNS ASK ap#.ip.sb
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
