Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 466266c0c6e15fb8
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\sidedad
- %TEMP%\tmpf478.tmp
- %TEMP%\tmpf479.tmp
- %TEMP%\tmpf48a.tmp
- %TEMP%\tmpf49a.tmp
- %TEMP%\tmpf49b.tmp
- %TEMP%\tmpf49c.tmp
- %TEMP%\tmpf4ad.tmp
- %TEMP%\tmpf4ae.tmp
- %TEMP%\tmpf4af.tmp
- %TEMP%\tmpf4bf.tmp
- %TEMP%\tmpf476.tmp
- %TEMP%\tmpf477.tmp
- %TEMP%\tmpf4c0.tmp
- %TEMP%\tmpf4d3.tmp
- %TEMP%\tmpf4d4.tmp
- %TEMP%\tmpf4d5.tmp
- %TEMP%\tmpf4d6.tmp
- %TEMP%\tmpf4e7.tmp
- %TEMP%\tmpf4e8.tmp
- %TEMP%\tmpf4e9.tmp
- %TEMP%\tmpf518.tmp
- %TEMP%\tmpf519.tmp
- %TEMP%\tmpf549.tmp
- %TEMP%\tmpf4c1.tmp
- %TEMP%\tmpf4d2.tmp
- %TEMP%\tmpf465.tmp
- %TEMP%\tmpf464.tmp
- %TEMP%\tmpf454.tmp
- %TEMP%\a8dd.exe
- %TEMP%\tmpf391.tmp
- %TEMP%\tmpf392.tmp
- %TEMP%\tmpf3a3.tmp
- %TEMP%\tmpf3b3.tmp
- %TEMP%\tmpf3b4.tmp
- %TEMP%\tmpf3b5.tmp
- %TEMP%\tmpf3c6.tmp
- %TEMP%\tmpf3c7.tmp
- %TEMP%\tmpf3d8.tmp
- %TEMP%\tmpf3d9.tmp
- %TEMP%\71f4.exe
- %TEMP%\tmpf3da.tmp
- %TEMP%\tmpf40a.tmp
- %TEMP%\tmpf41b.tmp
- %TEMP%\tmpf41c.tmp
- %TEMP%\tmpf41d.tmp
- %TEMP%\tmpf42e.tmp
- %TEMP%\tmpf42f.tmp
- %TEMP%\tmpf43f.tmp
- %TEMP%\tmpf440.tmp
- %TEMP%\tmpf441.tmp
- %TEMP%\tmpf442.tmp
- %TEMP%\tmpf453.tmp
- %TEMP%\tmpf3db.tmp
- %TEMP%\tmpf55a.tmp
- %TEMP%\34a8.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\sidedad
Удаляет следующие файлы
- %TEMP%\tmpf392.tmp
- %TEMP%\tmpf478.tmp
- %TEMP%\tmpf49a.tmp
- %TEMP%\tmpf48a.tmp
- %TEMP%\tmpf49c.tmp
- %TEMP%\tmpf49b.tmp
- %TEMP%\tmpf4ae.tmp
- %TEMP%\tmpf4ad.tmp
- %TEMP%\tmpf4bf.tmp
- %TEMP%\tmpf4af.tmp
- %TEMP%\tmpf476.tmp
- %TEMP%\tmpf479.tmp
- %TEMP%\tmpf4c1.tmp
- %TEMP%\tmpf4d2.tmp
- %TEMP%\tmpf4d5.tmp
- %TEMP%\tmpf4d4.tmp
- %TEMP%\tmpf4e7.tmp
- %TEMP%\tmpf4d6.tmp
- %TEMP%\tmpf4e9.tmp
- %TEMP%\tmpf4e8.tmp
- %TEMP%\tmpf519.tmp
- %TEMP%\tmpf518.tmp
- %TEMP%\tmpf4c0.tmp
- %TEMP%\tmpf4d3.tmp
- %TEMP%\tmpf477.tmp
- %TEMP%\tmpf464.tmp
- %TEMP%\tmpf465.tmp
- %TEMP%\tmpf3b3.tmp
- %TEMP%\tmpf3a3.tmp
- %TEMP%\tmpf3b5.tmp
- %TEMP%\tmpf3b4.tmp
- %TEMP%\tmpf3c7.tmp
- %TEMP%\tmpf3c6.tmp
- %TEMP%\tmpf3d9.tmp
- %TEMP%\tmpf3d8.tmp
- %TEMP%\tmpf3db.tmp
- %TEMP%\tmpf3da.tmp
- %TEMP%\tmpf391.tmp
- %TEMP%\tmpf41b.tmp
- %TEMP%\tmpf41d.tmp
- %TEMP%\tmpf41c.tmp
- %TEMP%\tmpf42f.tmp
- %TEMP%\tmpf42e.tmp
- %TEMP%\tmpf440.tmp
- %TEMP%\tmpf43f.tmp
- %TEMP%\tmpf442.tmp
- %TEMP%\tmpf441.tmp
- %TEMP%\tmpf454.tmp
- %TEMP%\tmpf453.tmp
- %TEMP%\tmpf40a.tmp
- %TEMP%\tmpf55a.tmp
- %TEMP%\tmpf549.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'th###mmum.com':80
- 'se###ebiz.org':80
- '21#.#14.52.159':80
- '18#.#15.113.114':8887
- '14#.#24.222.75':80
- 'le####13.tumblr.com':443
- '37.##0.239.108':80
- 'ap#.ip.sb':443
- 'microsoft.com':80
- '95.##3.55.53':10724
TCP
Запросы HTTP POST
- http://18#.###.113.114:8887/ via 18#.#15.113.114
- http://th###mmum.com/upload/
Другие
- 'le####13.tumblr.com':443
- 'ap#.ip.sb':443
UDP
- DNS ASK au###ney.com
- DNS ASK th###mmum.com
- DNS ASK se###ebiz.org
- DNS ASK le####13.tumblr.com
- DNS ASK ap#.ip.sb
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\71f4.exe'
- '%TEMP%\a8dd.exe'
- '%TEMP%\34a8.exe'
