Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\purefoe\noabu.exe
- %TEMP%\tmpc2bb.tmp
- %TEMP%\tmpc2ba.tmp
- %TEMP%\tmpc2b9.tmp
- %TEMP%\tmpc2b8.tmp
- %TEMP%\tmpc2b7.tmp
- %TEMP%\tmpc2b6.tmp
- %TEMP%\tmpc2b5.tmp
- %TEMP%\tmpc2a4.tmp
- %TEMP%\tmpc2a3.tmp
- %TEMP%\tmpc2a2.tmp
- %TEMP%\tmpc2cb.tmp
- %TEMP%\tmpc2a1.tmp
- %TEMP%\tmpc28f.tmp
- %TEMP%\tmpc28e.tmp
- %TEMP%\tmpc28d.tmp
- %TEMP%\tmpc28c.tmp
- %TEMP%\tmpc28b.tmp
- %TEMP%\tmpc28a.tmp
- %TEMP%\tmpc27a.tmp
- %TEMP%\tmpc279.tmp
- %TEMP%\tmpc278.tmp
- %TEMP%\tmpc277.tmp
- %TEMP%\tmpc2a0.tmp
- %TEMP%\tmpc2f8.tmp
- %TEMP%\tmpc343.tmp
- %TEMP%\tmpc2ce.tmp
- %TEMP%\tmpc332.tmp
- %TEMP%\tmpc322.tmp
- %TEMP%\tmpc311.tmp
- %TEMP%\tmpc310.tmp
- %TEMP%\tmpc30f.tmp
- %TEMP%\tmpc30e.tmp
- %TEMP%\tmpc30d.tmp
- %TEMP%\tmpc30c.tmp
- %TEMP%\tmpc2fb.tmp
- %TEMP%\tmpc2fa.tmp
- %TEMP%\tmpc276.tmp
- %TEMP%\tmpc2f9.tmp
- %TEMP%\tmpc2f7.tmp
- %TEMP%\tmpc2f6.tmp
- %TEMP%\tmpc2f5.tmp
- %TEMP%\tmpc2e5.tmp
- %TEMP%\tmpc2e4.tmp
- %TEMP%\tmpc2e3.tmp
- %TEMP%\tmpc2e2.tmp
- %TEMP%\tmpc2e1.tmp
- %TEMP%\tmpc2e0.tmp
- %TEMP%\tmpc2cf.tmp
- %TEMP%\tmpc2cc.tmp
- %TEMP%\tmpc2cd.tmp
- %TEMP%\tmpc275.tmp
- %TEMP%\tmpc1fd.tmp
- %TEMP%\tmpc1eb.tmp
- %TEMP%\tmpc1ea.tmp
- %TEMP%\tmpc1d9.tmp
- %TEMP%\tmpc1d8.tmp
- %TEMP%\tmpc1d7.tmp
- %TEMP%\tmpc1d6.tmp
- %TEMP%\tmpc1d5.tmp
- %TEMP%\tmpc1c4.tmp
- %TEMP%\tmpc1c3.tmp
- %TEMP%\tmpc1b3.tmp
- %TEMP%\tmpc1ec.tmp
- %TEMP%\tmpc1b2.tmp
- %TEMP%\tmpc1b0.tmp
- %TEMP%\tmpc19f.tmp
- %TEMP%\tmpc19e.tmp
- %TEMP%\tmpc19d.tmp
- %TEMP%\tmpc19c.tmp
- %TEMP%\tmpc18c.tmp
- %TEMP%\tmpc16b.tmp
- %TEMP%\tmpc16a.tmp
- %APPDATA%\purefoe\geo.txt
- %APPDATA%\purefoe\noabud.exe
- %TEMP%\tmpc1b1.tmp
- %TEMP%\tmpc228.tmp
- %TEMP%\tmpc263.tmp
- %TEMP%\tmpc1fe.tmp
- %TEMP%\tmpc262.tmp
- %TEMP%\tmpc252.tmp
- %TEMP%\tmpc251.tmp
- %TEMP%\tmpc250.tmp
- %TEMP%\tmpc24f.tmp
- %TEMP%\tmpc24e.tmp
- %TEMP%\tmpc23d.tmp
- %TEMP%\tmpc23c.tmp
- %TEMP%\tmpc23b.tmp
- %TEMP%\tmpc23a.tmp
- %TEMP%\tmpc264.tmp
- %TEMP%\tmpc239.tmp
- %TEMP%\tmpc227.tmp
- %TEMP%\tmpc226.tmp
- %TEMP%\tmpc225.tmp
- %TEMP%\tmpc215.tmp
- %TEMP%\tmpc214.tmp
- %TEMP%\tmpc213.tmp
- %TEMP%\tmpc212.tmp
- %TEMP%\tmpc211.tmp
- %TEMP%\tmpc200.tmp
- %TEMP%\tmpc1ff.tmp
- %TEMP%\tmpc1ed.tmp
- %TEMP%\tmpc353.tmp
Удаляет следующие файлы
- %TEMP%\tmpc16b.tmp
- %TEMP%\tmpc28f.tmp
- %TEMP%\tmpc2a1.tmp
- %TEMP%\tmpc2a3.tmp
- %TEMP%\tmpc2b5.tmp
- %TEMP%\tmpc2b7.tmp
- %TEMP%\tmpc2b9.tmp
- %TEMP%\tmpc2bb.tmp
- %TEMP%\tmpc2cc.tmp
- %TEMP%\tmpc2ce.tmp
- %TEMP%\tmpc28b.tmp
- %TEMP%\tmpc28d.tmp
- %TEMP%\tmpc2e0.tmp
- %TEMP%\tmpc2f5.tmp
- %TEMP%\tmpc2f7.tmp
- %TEMP%\tmpc2f9.tmp
- %TEMP%\tmpc2fb.tmp
- %TEMP%\tmpc30d.tmp
- %TEMP%\tmpc30f.tmp
- %TEMP%\tmpc311.tmp
- %TEMP%\tmpc322.tmp
- %TEMP%\tmpc332.tmp
- %TEMP%\tmpc2e2.tmp
- %TEMP%\tmpc2e4.tmp
- %TEMP%\tmpc27a.tmp
- %TEMP%\tmpc278.tmp
- %TEMP%\tmpc276.tmp
- %TEMP%\tmpc19e.tmp
- %TEMP%\tmpc1b0.tmp
- %TEMP%\tmpc1b2.tmp
- %TEMP%\tmpc1c3.tmp
- %TEMP%\tmpc1d5.tmp
- %TEMP%\tmpc1d7.tmp
- %TEMP%\tmpc1d9.tmp
- %TEMP%\tmpc1eb.tmp
- %TEMP%\tmpc1ed.tmp
- %TEMP%\tmpc1fe.tmp
- %TEMP%\tmpc19c.tmp
- %TEMP%\tmpc200.tmp
- %TEMP%\tmpc214.tmp
- %TEMP%\tmpc225.tmp
- %TEMP%\tmpc227.tmp
- %TEMP%\tmpc239.tmp
- %TEMP%\tmpc23b.tmp
- %TEMP%\tmpc23d.tmp
- %TEMP%\tmpc24f.tmp
- %TEMP%\tmpc251.tmp
- %TEMP%\tmpc262.tmp
- %TEMP%\tmpc264.tmp
- %TEMP%\tmpc212.tmp
- %TEMP%\tmpc343.tmp
- %TEMP%\tmpc353.tmp
Сетевая активность
Подключается к
- 'ip###ger.org':443
- 'microsoft.com':80
- 'ip##pi.com':80
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://mi###nalita.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pu##foe.top
- DNS ASK ip##pi.com
- DNS ASK mi###nalita.xyz
- DNS ASK ap#.ip.sb
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
Создает и запускает на исполнение
- '%APPDATA%\purefoe\noabu.exe'
