Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpdd05.tmp
- %TEMP%\tmpde57.tmp
- %TEMP%\tmpde56.tmp
- %TEMP%\tmpde55.tmp
- %TEMP%\tmpde54.tmp
- %TEMP%\tmpde53.tmp
- %TEMP%\tmpde42.tmp
- %TEMP%\tmpde41.tmp
- %TEMP%\tmpde40.tmp
- %TEMP%\tmpde3f.tmp
- %TEMP%\tmpde3e.tmp
- %TEMP%\tmpde3d.tmp
- %TEMP%\tmpde2c.tmp
- %TEMP%\tmpde2b.tmp
- %TEMP%\tmpde2a.tmp
- %TEMP%\tmpde29.tmp
- %TEMP%\tmpde28.tmp
- %TEMP%\tmpde18.tmp
- %TEMP%\tmpde17.tmp
- %TEMP%\tmpde16.tmp
- %TEMP%\tmpde15.tmp
- %TEMP%\tmpde14.tmp
- %TEMP%\tmpde58.tmp
- %TEMP%\tmpde68.tmp
- %TEMP%\tmpde69.tmp
- %TEMP%\tmpde6a.tmp
- %TEMP%\tmpdeed.tmp
- %TEMP%\tmpdedd.tmp
- %TEMP%\tmpdecc.tmp
- %TEMP%\tmpdebc.tmp
- %TEMP%\tmpdebb.tmp
- %TEMP%\tmpdeba.tmp
- %TEMP%\tmpdeb9.tmp
- %TEMP%\tmpdeb8.tmp
- %TEMP%\tmpdea7.tmp
- %TEMP%\tmpdea6.tmp
- %TEMP%\tmpdea4.tmp
- %TEMP%\tmpdea5.tmp
- %TEMP%\tmpdea3.tmp
- %TEMP%\tmpdea2.tmp
- %TEMP%\tmpde91.tmp
- %TEMP%\tmpde90.tmp
- %TEMP%\tmpde8f.tmp
- %TEMP%\tmpde8e.tmp
- %TEMP%\tmpde6e.tmp
- %TEMP%\tmpde6d.tmp
- %TEMP%\tmpde6c.tmp
- %TEMP%\tmpde6b.tmp
- %TEMP%\tmpdeee.tmp
- %TEMP%\tmpde03.tmp
- %TEMP%\tmpde02.tmp
- %TEMP%\tmpde01.tmp
- %TEMP%\tmpdd88.tmp
- %TEMP%\tmpdd87.tmp
- %TEMP%\tmpdd86.tmp
- %TEMP%\tmpdd75.tmp
- %TEMP%\tmpdd64.tmp
- %TEMP%\tmpdd63.tmp
- %TEMP%\tmpdd62.tmp
- %TEMP%\tmpdd61.tmp
- %TEMP%\tmpdd51.tmp
- %TEMP%\tmpdd50.tmp
- %TEMP%\tmpdd4f.tmp
- %TEMP%\tmpdd3e.tmp
- %TEMP%\tmpdd3d.tmp
- %TEMP%\tmpdd3c.tmp
- %TEMP%\tmpdd3b.tmp
- %TEMP%\tmpdd3a.tmp
- %TEMP%\tmpdd2a.tmp
- %TEMP%\tmpdd29.tmp
- %TEMP%\tmpdd28.tmp
- %TEMP%\tmpdd27.tmp
- %TEMP%\tmpdd06.tmp
- %TEMP%\tmpdd89.tmp
- %TEMP%\tmpdd8a.tmp
- %TEMP%\tmpdd9a.tmp
- %TEMP%\tmpdd9b.tmp
- %TEMP%\tmpddff.tmp
- %TEMP%\tmpddef.tmp
- %TEMP%\tmpddee.tmp
- %TEMP%\tmpdded.tmp
- %TEMP%\tmpddec.tmp
- %TEMP%\tmpdddb.tmp
- %TEMP%\tmpddda.tmp
- %TEMP%\tmpddd9.tmp
- %TEMP%\tmpddd8.tmp
- %TEMP%\tmpddc7.tmp
- %TEMP%\tmpddc5.tmp
- %TEMP%\tmpddc6.tmp
- %TEMP%\tmpddc4.tmp
- %TEMP%\tmpddc3.tmp
- %TEMP%\tmpddb3.tmp
- %TEMP%\tmpddb2.tmp
- %TEMP%\tmpddb1.tmp
- %TEMP%\tmpddb0.tmp
- %TEMP%\tmpddaf.tmp
- %TEMP%\tmpdd9e.tmp
- %TEMP%\tmpdd9d.tmp
- %TEMP%\tmpdd9c.tmp
- %TEMP%\tmpde00.tmp
- %TEMP%\clipper_gj.exe
Удаляет следующие файлы
- %TEMP%\tmpdd06.tmp
- %TEMP%\tmpde2a.tmp
- %TEMP%\tmpde2c.tmp
- %TEMP%\tmpde3e.tmp
- %TEMP%\tmpde40.tmp
- %TEMP%\tmpde42.tmp
- %TEMP%\tmpde54.tmp
- %TEMP%\tmpde56.tmp
- %TEMP%\tmpde58.tmp
- %TEMP%\tmpde69.tmp
- %TEMP%\tmpde17.tmp
- %TEMP%\tmpde28.tmp
- %TEMP%\tmpde6b.tmp
- %TEMP%\tmpde90.tmp
- %TEMP%\tmpdea2.tmp
- %TEMP%\tmpdea4.tmp
- %TEMP%\tmpdea6.tmp
- %TEMP%\tmpdeb8.tmp
- %TEMP%\tmpdeba.tmp
- %TEMP%\tmpdebc.tmp
- %TEMP%\tmpdecc.tmp
- %TEMP%\tmpdedd.tmp
- %TEMP%\tmpde6d.tmp
- %TEMP%\tmpde8e.tmp
- %TEMP%\tmpde15.tmp
- %TEMP%\tmpde03.tmp
- %TEMP%\tmpde01.tmp
- %TEMP%\tmpdd2a.tmp
- %TEMP%\tmpdd3b.tmp
- %TEMP%\tmpdd3d.tmp
- %TEMP%\tmpdd4f.tmp
- %TEMP%\tmpdd51.tmp
- %TEMP%\tmpdd62.tmp
- %TEMP%\tmpdd64.tmp
- %TEMP%\tmpdd86.tmp
- %TEMP%\tmpdd88.tmp
- %TEMP%\tmpdd8a.tmp
- %TEMP%\tmpdd28.tmp
- %TEMP%\tmpdd9b.tmp
- %TEMP%\tmpddaf.tmp
- %TEMP%\tmpddb1.tmp
- %TEMP%\tmpddb3.tmp
- %TEMP%\tmpddc4.tmp
- %TEMP%\tmpddc6.tmp
- %TEMP%\tmpddd8.tmp
- %TEMP%\tmpddda.tmp
- %TEMP%\tmpddec.tmp
- %TEMP%\tmpddee.tmp
- %TEMP%\tmpddff.tmp
- %TEMP%\tmpdd9d.tmp
- %TEMP%\tmpdeed.tmp
- %TEMP%\tmpdeee.tmp
Сетевая активность
Подключается к
- '86.##7.197.8':34899
- 'ap#.ip.sb':443
- 'wi###cribe.pw':443
TCP
Запросы HTTP POST
- http://86.###.197.8:34899/ via 86.##7.197.8
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wi###cribe.pw
Другое
Создает и запускает на исполнение
- '%TEMP%\clipper_gj.exe'
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\xqVKoBj" /XML "%TEMP%\tmp9231.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\xqVKoBj" /XML "%TEMP%\tmp9231.tmp"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
