Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp5c90.tmp
- %TEMP%\tmp60fe.tmp
- %TEMP%\tmp60fd.tmp
- %TEMP%\tmp60ec.tmp
- %TEMP%\tmp60eb.tmp
- %TEMP%\tmp60ea.tmp
- %TEMP%\tmp60e9.tmp
- %TEMP%\tmp60d9.tmp
- %TEMP%\tmp60d8.tmp
- %TEMP%\tmp60d7.tmp
- %TEMP%\tmp60d6.tmp
- %TEMP%\tmp60c5.tmp
- %TEMP%\tmp60c4.tmp
- %TEMP%\tmp60b4.tmp
- %TEMP%\tmp60b3.tmp
- %TEMP%\tmp60b2.tmp
- %TEMP%\tmp60b1.tmp
- %TEMP%\tmp60a0.tmp
- %TEMP%\tmp609f.tmp
- %TEMP%\tmp608e.tmp
- %TEMP%\tmp608d.tmp
- %TEMP%\tmp608c.tmp
- %TEMP%\tmp607b.tmp
- %TEMP%\tmp608b.tmp
- %TEMP%\tmp60ff.tmp
- %TEMP%\tmp6110.tmp
- %TEMP%\tmp61a2.tmp
- %TEMP%\tmp6182.tmp
- %TEMP%\tmp6172.tmp
- %TEMP%\tmp6171.tmp
- %TEMP%\tmp6170.tmp
- %TEMP%\tmp616f.tmp
- %TEMP%\tmp615e.tmp
- %TEMP%\tmp615d.tmp
- %TEMP%\tmp615c.tmp
- %TEMP%\tmp614b.tmp
- %TEMP%\tmp6149.tmp
- %TEMP%\tmp601e.tmp
- %TEMP%\tmp6139.tmp
- %TEMP%\tmp6138.tmp
- %TEMP%\tmp6137.tmp
- %TEMP%\tmp6136.tmp
- %TEMP%\tmp6125.tmp
- %TEMP%\tmp6124.tmp
- %TEMP%\tmp6123.tmp
- %TEMP%\tmp6113.tmp
- %TEMP%\tmp6112.tmp
- %TEMP%\tmp6111.tmp
- %TEMP%\tmp607a.tmp
- %TEMP%\tmp6079.tmp
- %TEMP%\tmp6078.tmp
- %TEMP%\tmp5fb0.tmp
- %TEMP%\tmp5fa0.tmp
- %TEMP%\tmp5f9f.tmp
- %TEMP%\tmp5f9e.tmp
- %TEMP%\tmp5f8d.tmp
- %TEMP%\tmp5f7c.tmp
- %TEMP%\tmp5f2d.tmp
- %TEMP%\tmp5e62.tmp
- %TEMP%\tmp5e61.tmp
- %TEMP%\tmp5df2.tmp
- %TEMP%\tmp5de2.tmp
- %TEMP%\tmp5dd1.tmp
- %TEMP%\tmp5dd0.tmp
- %TEMP%\tmp5d24.tmp
- %TEMP%\tmp5d13.tmp
- %TEMP%\tmp5d02.tmp
- %TEMP%\tmp5d01.tmp
- %TEMP%\tmp5d00.tmp
- %TEMP%\tmp5cf0.tmp
- %TEMP%\tmp5ca1.tmp
- %TEMP%\tmp5fc2.tmp
- %TEMP%\tmp5fc3.tmp
- %TEMP%\tmp5fb1.tmp
- %TEMP%\tmp5fc4.tmp
- %TEMP%\tmp6067.tmp
- %TEMP%\tmp5fd4.tmp
- %TEMP%\tmp6066.tmp
- %TEMP%\tmp6056.tmp
- %TEMP%\tmp6055.tmp
- %TEMP%\tmp6054.tmp
- %TEMP%\tmp6043.tmp
- %TEMP%\tmp6042.tmp
- %TEMP%\tmp6041.tmp
- %TEMP%\tmp6040.tmp
- %TEMP%\tmp602f.tmp
- %TEMP%\tmp614a.tmp
- %TEMP%\tmp61c3.tmp
- %TEMP%\tmp601d.tmp
- %TEMP%\tmp600c.tmp
- %TEMP%\tmp600b.tmp
- %TEMP%\tmp600a.tmp
- %TEMP%\tmp5ffa.tmp
- %TEMP%\tmp5ff9.tmp
- %TEMP%\tmp5fe8.tmp
- %TEMP%\tmp5fe7.tmp
- %TEMP%\tmp5fe6.tmp
- %TEMP%\tmp5fd5.tmp
- %TEMP%\tmp602e.tmp
- %TEMP%\tmp61c4.tmp
Удаляет следующие файлы
- %TEMP%\tmp5ca1.tmp
- %TEMP%\tmp60b2.tmp
- %TEMP%\tmp60b4.tmp
- %TEMP%\tmp60c5.tmp
- %TEMP%\tmp60d7.tmp
- %TEMP%\tmp60d9.tmp
- %TEMP%\tmp60ea.tmp
- %TEMP%\tmp60ec.tmp
- %TEMP%\tmp60fe.tmp
- %TEMP%\tmp6110.tmp
- %TEMP%\tmp608e.tmp
- %TEMP%\tmp60a0.tmp
- %TEMP%\tmp6112.tmp
- %TEMP%\tmp6137.tmp
- %TEMP%\tmp6139.tmp
- %TEMP%\tmp614a.tmp
- %TEMP%\tmp615c.tmp
- %TEMP%\tmp615e.tmp
- %TEMP%\tmp6170.tmp
- %TEMP%\tmp6172.tmp
- %TEMP%\tmp6182.tmp
- %TEMP%\tmp61a2.tmp
- %TEMP%\tmp6123.tmp
- %TEMP%\tmp6125.tmp
- %TEMP%\tmp608c.tmp
- %TEMP%\tmp607b.tmp
- %TEMP%\tmp6079.tmp
- %TEMP%\tmp5d02.tmp
- %TEMP%\tmp5d24.tmp
- %TEMP%\tmp5dd1.tmp
- %TEMP%\tmp5df2.tmp
- %TEMP%\tmp5e62.tmp
- %TEMP%\tmp5f7c.tmp
- %TEMP%\tmp5f9e.tmp
- %TEMP%\tmp5fa0.tmp
- %TEMP%\tmp5fb1.tmp
- %TEMP%\tmp5fc3.tmp
- %TEMP%\tmp5d00.tmp
- %TEMP%\tmp5fd4.tmp
- %TEMP%\tmp5fe8.tmp
- %TEMP%\tmp5ffa.tmp
- %TEMP%\tmp600b.tmp
- %TEMP%\tmp601d.tmp
- %TEMP%\tmp602e.tmp
- %TEMP%\tmp6040.tmp
- %TEMP%\tmp6042.tmp
- %TEMP%\tmp6054.tmp
- %TEMP%\tmp6056.tmp
- %TEMP%\tmp6067.tmp
- %TEMP%\tmp5fe6.tmp
- %TEMP%\tmp61c3.tmp
- %TEMP%\tmp61c4.tmp
Сетевая активность
Подключается к
- '95.##7.211.81':64007
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://95.###.211.81:64007/ via 95.##7.211.81
UDP
- DNS ASK ap#.ip.sb
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
