Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpf2e6.tmp
- %TEMP%\tmpf467.tmp
- %TEMP%\tmpf466.tmp
- %TEMP%\tmpf465.tmp
- %TEMP%\tmpf464.tmp
- %TEMP%\tmpf453.tmp
- %TEMP%\tmpf452.tmp
- %TEMP%\tmpf451.tmp
- %TEMP%\tmpf450.tmp
- %TEMP%\tmpf44f.tmp
- %TEMP%\tmpf44e.tmp
- %TEMP%\tmpf44d.tmp
- %TEMP%\tmpf43c.tmp
- %TEMP%\tmpf43b.tmp
- %TEMP%\tmpf43a.tmp
- %TEMP%\tmpf439.tmp
- %TEMP%\tmpf438.tmp
- %TEMP%\tmpf428.tmp
- %TEMP%\tmpf427.tmp
- %TEMP%\tmpf426.tmp
- %TEMP%\tmpf425.tmp
- %TEMP%\tmpf424.tmp
- %TEMP%\tmpf412.tmp
- %TEMP%\tmpf423.tmp
- %TEMP%\tmpf468.tmp
- %TEMP%\tmpf469.tmp
- %TEMP%\tmpf4cd.tmp
- %TEMP%\tmpf4bc.tmp
- %TEMP%\tmpf4bb.tmp
- %TEMP%\tmpf4aa.tmp
- %TEMP%\tmpf4a9.tmp
- %TEMP%\tmpf4a8.tmp
- %TEMP%\tmpf4a7.tmp
- %TEMP%\tmpf4a6.tmp
- %TEMP%\tmpf4a5.tmp
- %TEMP%\tmpf495.tmp
- %TEMP%\tmpf493.tmp
- %TEMP%\tmpf3d4.tmp
- %TEMP%\tmpf492.tmp
- %TEMP%\tmpf491.tmp
- %TEMP%\tmpf490.tmp
- %TEMP%\tmpf47f.tmp
- %TEMP%\tmpf47e.tmp
- %TEMP%\tmpf47d.tmp
- %TEMP%\tmpf47c.tmp
- %TEMP%\tmpf47b.tmp
- %TEMP%\tmpf47a.tmp
- %TEMP%\tmpf46a.tmp
- %TEMP%\tmpf411.tmp
- %TEMP%\tmpf410.tmp
- %TEMP%\tmpf40f.tmp
- %TEMP%\tmpf386.tmp
- %TEMP%\tmpf375.tmp
- %TEMP%\tmpf374.tmp
- %TEMP%\tmpf373.tmp
- %TEMP%\tmpf363.tmp
- %TEMP%\tmpf362.tmp
- %TEMP%\tmpf361.tmp
- %TEMP%\tmpf350.tmp
- %TEMP%\tmpf34f.tmp
- %TEMP%\tmpf34e.tmp
- %TEMP%\tmpf34d.tmp
- %TEMP%\tmpf34c.tmp
- %TEMP%\tmpf33c.tmp
- %TEMP%\tmpf33b.tmp
- %TEMP%\tmpf32a.tmp
- %TEMP%\tmpf329.tmp
- %TEMP%\tmpf328.tmp
- %TEMP%\tmpf327.tmp
- %TEMP%\tmpf316.tmp
- %TEMP%\tmpf2e7.tmp
- %TEMP%\tmpf388.tmp
- %TEMP%\tmpf389.tmp
- %TEMP%\tmpf387.tmp
- %TEMP%\tmpf38a.tmp
- %TEMP%\tmpf40e.tmp
- %TEMP%\tmpf3aa.tmp
- %TEMP%\tmpf3fe.tmp
- %TEMP%\tmpf3fd.tmp
- %TEMP%\tmpf3fc.tmp
- %TEMP%\tmpf3fb.tmp
- %TEMP%\tmpf3fa.tmp
- %TEMP%\tmpf3e9.tmp
- %TEMP%\tmpf3e8.tmp
- %TEMP%\tmpf3e7.tmp
- %TEMP%\tmpf3e6.tmp
- %TEMP%\tmpf494.tmp
- %TEMP%\tmpf4dd.tmp
- %TEMP%\tmpf3d3.tmp
- %TEMP%\tmpf3d2.tmp
- %TEMP%\tmpf3d1.tmp
- %TEMP%\tmpf3d0.tmp
- %TEMP%\tmpf3c0.tmp
- %TEMP%\tmpf3bf.tmp
- %TEMP%\tmpf3be.tmp
- %TEMP%\tmpf3bd.tmp
- %TEMP%\tmpf3bc.tmp
- %TEMP%\tmpf3ab.tmp
- %TEMP%\tmpf3e5.tmp
- %TEMP%\tmpf4de.tmp
Удаляет следующие файлы
- %TEMP%\tmpf2e7.tmp
- %TEMP%\tmpf439.tmp
- %TEMP%\tmpf43b.tmp
- %TEMP%\tmpf44d.tmp
- %TEMP%\tmpf44f.tmp
- %TEMP%\tmpf451.tmp
- %TEMP%\tmpf453.tmp
- %TEMP%\tmpf465.tmp
- %TEMP%\tmpf467.tmp
- %TEMP%\tmpf469.tmp
- %TEMP%\tmpf426.tmp
- %TEMP%\tmpf428.tmp
- %TEMP%\tmpf47a.tmp
- %TEMP%\tmpf490.tmp
- %TEMP%\tmpf492.tmp
- %TEMP%\tmpf494.tmp
- %TEMP%\tmpf4a5.tmp
- %TEMP%\tmpf4a7.tmp
- %TEMP%\tmpf4a9.tmp
- %TEMP%\tmpf4bb.tmp
- %TEMP%\tmpf4bc.tmp
- %TEMP%\tmpf4cd.tmp
- %TEMP%\tmpf47c.tmp
- %TEMP%\tmpf47e.tmp
- %TEMP%\tmpf424.tmp
- %TEMP%\tmpf412.tmp
- %TEMP%\tmpf410.tmp
- %TEMP%\tmpf329.tmp
- %TEMP%\tmpf33b.tmp
- %TEMP%\tmpf34c.tmp
- %TEMP%\tmpf34e.tmp
- %TEMP%\tmpf350.tmp
- %TEMP%\tmpf362.tmp
- %TEMP%\tmpf373.tmp
- %TEMP%\tmpf375.tmp
- %TEMP%\tmpf387.tmp
- %TEMP%\tmpf389.tmp
- %TEMP%\tmpf327.tmp
- %TEMP%\tmpf3aa.tmp
- %TEMP%\tmpf3be.tmp
- %TEMP%\tmpf3c0.tmp
- %TEMP%\tmpf3d1.tmp
- %TEMP%\tmpf3d3.tmp
- %TEMP%\tmpf3e5.tmp
- %TEMP%\tmpf3e7.tmp
- %TEMP%\tmpf3e9.tmp
- %TEMP%\tmpf3fb.tmp
- %TEMP%\tmpf3fd.tmp
- %TEMP%\tmpf40e.tmp
- %TEMP%\tmpf3bc.tmp
- %TEMP%\tmpf4dd.tmp
- %TEMP%\tmpf4de.tmp
Сетевая активность
Подключается к
- '45.##2.212.139':57162
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://45.###.212.139:57162/ via 45.##2.212.139
UDP
- DNS ASK ap#.ip.sb
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
