Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- <Имя файла>.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\<Имя файла>.exe
- %TEMP%\tmpcfc5.tmp
- %TEMP%\tmpcfc4.tmp
- %TEMP%\tmpcfb4.tmp
- %TEMP%\tmpcfb3.tmp
- %TEMP%\tmpcfb2.tmp
- %TEMP%\tmpcfb1.tmp
- %TEMP%\tmpcfb0.tmp
- %TEMP%\tmpcfaf.tmp
- %TEMP%\tmpcf9e.tmp
- %TEMP%\tmpcf9d.tmp
- %TEMP%\tmpcf9c.tmp
- %TEMP%\tmpcf9b.tmp
- %TEMP%\tmpcf9a.tmp
- %TEMP%\tmpcf99.tmp
- %TEMP%\tmpcf88.tmp
- %TEMP%\tmpcf87.tmp
- %TEMP%\tmpcf86.tmp
- %TEMP%\tmpcf85.tmp
- %TEMP%\tmpcf75.tmp
- %TEMP%\tmpcf74.tmp
- %TEMP%\tmpcf73.tmp
- %TEMP%\tmpcfc6.tmp
- %TEMP%\tmpcfc7.tmp
- %TEMP%\tmpcfe7.tmp
- %TEMP%\tmpcfe8.tmp
- %TEMP%\tmpd07b.tmp
- %TEMP%\tmpd06b.tmp
- %TEMP%\tmpd06a.tmp
- %TEMP%\tmpd069.tmp
- %TEMP%\tmpd068.tmp
- %TEMP%\tmpd057.tmp
- %TEMP%\tmpd056.tmp
- %TEMP%\tmpd055.tmp
- %TEMP%\tmpd054.tmp
- %TEMP%\tmpd043.tmp
- %TEMP%\tmpd041.tmp
- %TEMP%\tmpd042.tmp
- %TEMP%\tmpd040.tmp
- %TEMP%\tmpd030.tmp
- %TEMP%\tmpd02f.tmp
- %TEMP%\tmpd02e.tmp
- %TEMP%\tmpd00e.tmp
- %TEMP%\tmpcffd.tmp
- %TEMP%\tmpcffc.tmp
- %TEMP%\tmpcffb.tmp
- %TEMP%\tmpcffa.tmp
- %TEMP%\tmpcff9.tmp
- %TEMP%\tmpd08c.tmp
- %TEMP%\tmpcf72.tmp
- %TEMP%\tmpcf71.tmp
- %TEMP%\tmpcf70.tmp
- %TEMP%\tmpcee7.tmp
- %TEMP%\tmpcee6.tmp
- %TEMP%\tmpced5.tmp
- %TEMP%\tmpced4.tmp
- %TEMP%\tmpced3.tmp
- %TEMP%\tmpced2.tmp
- %TEMP%\tmpcec1.tmp
- %TEMP%\tmpcec0.tmp
- %TEMP%\tmpcebf.tmp
- %TEMP%\tmpceaf.tmp
- %TEMP%\tmpceae.tmp
- %TEMP%\tmpcead.tmp
- %TEMP%\tmpceac.tmp
- %TEMP%\tmpce9b.tmp
- %TEMP%\tmpce9a.tmp
- %TEMP%\tmpce99.tmp
- %TEMP%\tmpce98.tmp
- %TEMP%\tmpce88.tmp
- %TEMP%\tmpce87.tmp
- %TEMP%\tmpce66.tmp
- %TEMP%\tmpce56.tmp
- %TEMP%\tmpcee8.tmp
- %TEMP%\tmpcee9.tmp
- %TEMP%\tmpcef9.tmp
- %TEMP%\tmpcefa.tmp
- %TEMP%\tmpcf5e.tmp
- %TEMP%\tmpcf5d.tmp
- %TEMP%\tmpcf5c.tmp
- %TEMP%\tmpcf4c.tmp
- %TEMP%\tmpcf4b.tmp
- %TEMP%\tmpcf4a.tmp
- %TEMP%\tmpcf49.tmp
- %TEMP%\tmpcf38.tmp
- %TEMP%\tmpcf37.tmp
- %TEMP%\tmpcf36.tmp
- %TEMP%\tmpcf24.tmp
- %TEMP%\tmpcf35.tmp
- %TEMP%\tmpcf23.tmp
- %TEMP%\tmpcf22.tmp
- %TEMP%\tmpcf21.tmp
- %TEMP%\tmpcf11.tmp
- %TEMP%\tmpcf10.tmp
- %TEMP%\tmpcf0f.tmp
- %TEMP%\tmpcf0e.tmp
- %TEMP%\tmpcf0d.tmp
- %TEMP%\tmpcefc.tmp
- %TEMP%\tmpcefb.tmp
- %TEMP%\tmpcf5f.tmp
- %TEMP%\tmpd09c.tmp
Удаляет следующие файлы
- %TEMP%\tmpce66.tmp
- %TEMP%\tmpcf9a.tmp
- %TEMP%\tmpcf9c.tmp
- %TEMP%\tmpcf9e.tmp
- %TEMP%\tmpcfb0.tmp
- %TEMP%\tmpcfb2.tmp
- %TEMP%\tmpcfb4.tmp
- %TEMP%\tmpcfc5.tmp
- %TEMP%\tmpcfc7.tmp
- %TEMP%\tmpcfe8.tmp
- %TEMP%\tmpcf86.tmp
- %TEMP%\tmpcf88.tmp
- %TEMP%\tmpcffa.tmp
- %TEMP%\tmpd02f.tmp
- %TEMP%\tmpd040.tmp
- %TEMP%\tmpd042.tmp
- %TEMP%\tmpd054.tmp
- %TEMP%\tmpd056.tmp
- %TEMP%\tmpd068.tmp
- %TEMP%\tmpd06a.tmp
- %TEMP%\tmpd06b.tmp
- %TEMP%\tmpd07b.tmp
- %TEMP%\tmpcffc.tmp
- %TEMP%\tmpd00e.tmp
- %TEMP%\tmpcf75.tmp
- %TEMP%\tmpcf73.tmp
- %TEMP%\tmpcf71.tmp
- %TEMP%\tmpce99.tmp
- %TEMP%\tmpce9b.tmp
- %TEMP%\tmpcead.tmp
- %TEMP%\tmpceaf.tmp
- %TEMP%\tmpcec0.tmp
- %TEMP%\tmpced2.tmp
- %TEMP%\tmpced4.tmp
- %TEMP%\tmpcee6.tmp
- %TEMP%\tmpcee8.tmp
- %TEMP%\tmpcef9.tmp
- %TEMP%\tmpce88.tmp
- %TEMP%\tmpcefb.tmp
- %TEMP%\tmpcf0f.tmp
- %TEMP%\tmpcf11.tmp
- %TEMP%\tmpcf22.tmp
- %TEMP%\tmpcf24.tmp
- %TEMP%\tmpcf36.tmp
- %TEMP%\tmpcf38.tmp
- %TEMP%\tmpcf4a.tmp
- %TEMP%\tmpcf4c.tmp
- %TEMP%\tmpcf5d.tmp
- %TEMP%\tmpcf5f.tmp
- %TEMP%\tmpcf0d.tmp
- %TEMP%\tmpd08c.tmp
- %TEMP%\tmpd09c.tmp
Сетевая активность
Подключается к
- 'yl###eri.xyz':80
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://yl###eri.xyz/
UDP
- DNS ASK yl###eri.xyz
- DNS ASK ap#.ip.sb
Другое
Создает и запускает на исполнение
- '%TEMP%\<Имя файла>.exe'
