Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\vsyx.txt
- %TEMP%\lkmbuacn\mofkrhy.tmp
- %TEMP%\lkmbuacn\dwbmcueu.tmp
- %TEMP%\lkmbuacn\_files\_cookies\opera.txt
- %TEMP%\lkmbuacn\files_\cookies\opera.txt
- %TEMP%\lkmbuacn\_files\_screen_desktop.jpeg
- %TEMP%\lkmbuacn\_files\_information.txt
- %TEMP%\lkmbuacn\files_\screenshot.jpg
- %TEMP%\lkmbuacn\files_\system_info.txt
- %TEMP%\lkmbuacn\dcnwgqbyrdetxb.zip
- %TEMP%\lkmbuacn\srxuqhctuttf.zip
- %TEMP%\zkryhqbs.exe
- %TEMP%\nsr7a5e.tmp\uac.dll
- %ProgramFiles(x86)%\foler\olader\acppage.dll
- %ProgramFiles(x86)%\foler\olader\adprovider.dll
- %ProgramFiles(x86)%\foler\olader\acledit.dll
- %TEMP%\lkmbuacn\apewxuw.tmp
- %TEMP%\new feature\vpn.exe
- %TEMP%\lkmbuacn\files_\cookies\google_chrome.txt
- %TEMP%\lkmbuacn\jyewxbwi.tmp
- %TEMP%\lkmbuacn\c5jmn.tmp
- %TEMP%\lkmbuacn\fehs8.tmp
- %TEMP%\lkmbuacn\c5jmn.tmp-shm
- %TEMP%\lkmbuacn\_files\_cookies\mozilla_firefox.txt
- %TEMP%\lkmbuacn\files_\cookies\mozilla_firefox.txt
- %TEMP%\lkmbuacn\_files\_allcookies_list.txt
- %TEMP%\lkmbuacn\files_\cookies.txt
- %TEMP%\lkmbuacn\jblgkrl.tmp
- %TEMP%\lkmbuacn\khfeoxk.tmp
- %TEMP%\lkmbuacn\pnawuby.tmp
- %TEMP%\lkmbuacn\muqgb.tmp
- %TEMP%\lkmbuacn\mtcywm.tmp
- %TEMP%\lkmbuacn\garplsah.tmp
- %TEMP%\lkmbuacn\uuenyif.tmp
- %TEMP%\lkmbuacn\kxjoftb.tmp
- %TEMP%\lkmbuacn\_files\_cookies\google_chrome.txt
- %TEMP%\new feature\4.exe
Удаляет следующие файлы
- %TEMP%\vsyx.txt
- %TEMP%\lkmbuacn\pnawuby.tmp
- %TEMP%\lkmbuacn\muqgb.tmp
- %TEMP%\lkmbuacn\mtcywm.tmp
- %TEMP%\lkmbuacn\mofkrhy.tmp
- %TEMP%\lkmbuacn\kxjoftb.tmp
- %TEMP%\lkmbuacn\khfeoxk.tmp
- %TEMP%\lkmbuacn\jyewxbwi.tmp
- %TEMP%\lkmbuacn\jblgkrl.tmp
- %TEMP%\lkmbuacn\garplsah.tmp
- %TEMP%\lkmbuacn\files_\cookies.txt
- %TEMP%\lkmbuacn\files_\cookies\opera.txt
- %TEMP%\lkmbuacn\fehs8.tmp
- %TEMP%\lkmbuacn\dwbmcueu.tmp
- %TEMP%\lkmbuacn\c5jmn.tmp
- %TEMP%\lkmbuacn\apewxuw.tmp
- %TEMP%\nsr7a5e.tmp\uac.dll
- %TEMP%\lkmbuacn\c5jmn.tmp-shm
- %TEMP%\lkmbuacn\uuenyif.tmp
- %TEMP%\lkmbuacn\_files\_cookies\opera.txt
Сетевая активность
Подключается к
- 're###e52.top':80
- 'mo###a05.top':80
- 'su###s07.top':80
TCP
Запросы HTTP POST
- http://re###e52.top/index.php
- http://mo###a05.top/index.php
UDP
- DNS ASK re###e52.top
- DNS ASK mo###a05.top
- DNS ASK su###s07.top
Другое
Создает и запускает на исполнение
- '%TEMP%\zkryhqbs.exe'
- '%TEMP%\new feature\vpn.exe'
- '%TEMP%\new feature\4.exe'
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\ZKrYHqBS.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\LKmBUAcN & timeout 3 & del /f /q "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\ZKrYHqBS.exe"
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\LKmBUAcN & timeout 3 & del /f /q "<Полный путь к файлу>"
- '%WINDIR%\syswow64\timeout.exe' 3
