Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp4b55.tmp.dat
- %APPDATA%\nitrogen-[nl]-95.211.190.199\apocalypsestealer.jpg
- %APPDATA%\nitrogen-[nl]-95.211.190.199\telegram - @ballxxn.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabinfo\processes.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabinfo\pc.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabfiles\uep_form_786_bulletin_1726i602.doc
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabfiles\lisp_success.doc
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabfiles\cveuropeo.doc
- C:\users\public\wjj9aet2.default\key3.db
- %TEMP%\tmp4db5.tmp.dat
- %TEMP%\tmp4d95.tmp.tmpdb
- C:\users\public\gn7ryp3k.default\key3.db
- %TEMP%\tmp4d46.tmp.dat
- %TEMP%\tmp4ca9.tmp.tmpdb
- %APPDATA%\nitrogen-[nl]-95.211.190.199\steam\config.vdf
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\opera\bookmarks.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\opera\cookies.txt
- %TEMP%\tmp4c3b.tmp.dat
- %TEMP%\tmp4c2a.tmp.dat
- %TEMP%\tmp4c1a.tmp.dat
- %TEMP%\tmp4bcb.tmp.dat
- %TEMP%\tmp4bca.tmp.dat
- %TEMP%\tmp4bb9.tmp.dat
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\google\cookies.txt
- %TEMP%\tmp4b99.tmp.dat
- %TEMP%\tmp4b98.tmp.dat
- %TEMP%\tmp4b87.tmp.dat
- %TEMP%\tmp4b77.tmp.dat
- %TEMP%\tmp4b76.tmp.dat
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\opera\history.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199.zip
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\nitrogen-[nl]-95.211.190.199.zip
Удаляет следующие файлы
- %TEMP%\tmp4b55.tmp.dat
- %APPDATA%\nitrogen-[nl]-95.211.190.199\steam\config.vdf
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabinfo\processes.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabinfo\pc.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabfiles\uep_form_786_bulletin_1726i602.doc
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabfiles\lisp_success.doc
- %APPDATA%\nitrogen-[nl]-95.211.190.199\grab\grabfiles\cveuropeo.doc
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\opera\history.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\opera\cookies.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\opera\bookmarks.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\chromiumtoo\google\cookies.txt
- %APPDATA%\nitrogen-[nl]-95.211.190.199\apocalypsestealer.jpg
- %TEMP%\tmp4db5.tmp.dat
- %APPDATA%\nitrogen-[nl]-95.211.190.199\telegram - @ballxxn.txt
- %TEMP%\tmp4d95.tmp.tmpdb
- %TEMP%\tmp4ca9.tmp.tmpdb
- %TEMP%\tmp4c3b.tmp.dat
- %TEMP%\tmp4c2a.tmp.dat
- %TEMP%\tmp4c1a.tmp.dat
- %TEMP%\tmp4bcb.tmp.dat
- %TEMP%\tmp4bca.tmp.dat
- %TEMP%\tmp4bb9.tmp.dat
- %TEMP%\tmp4b99.tmp.dat
- %TEMP%\tmp4b98.tmp.dat
- %TEMP%\tmp4b87.tmp.dat
- %TEMP%\tmp4b77.tmp.dat
- %TEMP%\tmp4b76.tmp.dat
- %TEMP%\tmp4d46.tmp.dat
- %APPDATA%\nitrogen-[nl]-95.211.190.199.zip
Самоудаляется.
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'microsoft.com':80
- 'ip##pi.com':80
- 'ap###lypsee.fun':80
TCP
Запросы HTTP POST
- http://ap###lypsee.fun/corona/corona.php?ci###########
UDP
- DNS ASK ap#.#pify.org
- DNS ASK microsoft.com
- DNS ASK ip##pi.com
- DNS ASK ap###lypsee.fun
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 3 & Del "<Имя файла>.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 3 & Del "<Имя файла>.exe"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
