Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles%\steam\config\config.vdf
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\508softwareandos.doc
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\chromium\user data\default\web data
- %ProgramFiles%\steam\config\dialogconfig.vdf
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpf3c.tmp
- %TEMP%\tmp1cb2.tmp
- %TEMP%\tmp1ca1.tmp
- %TEMP%\tmp1ca0.tmp
- %TEMP%\tmp1c90.tmp
- %TEMP%\tmp1c7f.tmp
- %TEMP%\tmp1c6f.tmp
- %TEMP%\tmp1c6e.tmp
- %TEMP%\tmp1c5d.tmp
- %TEMP%\tmp1c4c.tmp
- %TEMP%\tmp1c3c.tmp
- %TEMP%\tmp1c2b.tmp
- %TEMP%\tmp1c1b.tmp
- %TEMP%\tmp1c1a.tmp
- %TEMP%\tmp1c09.tmp
- %TEMP%\tmp1c08.tmp
- %TEMP%\tmp1bf7.tmp
- %TEMP%\tmp1bf6.tmp
- %TEMP%\tmp1bc6.tmp
- %TEMP%\tmp1bd6.tmp
- %TEMP%\tmp1cb3.tmp
- %TEMP%\tmp1cc4.tmp
- %TEMP%\tmp1e1d.tmp
- %TEMP%\tmp1e1c.tmp
- %TEMP%\tmp1e1b.tmp
- %TEMP%\tmp1dfb.tmp
- %TEMP%\tmp1dea.tmp
- %TEMP%\tmp1dca.tmp
- %TEMP%\tmp1dba.tmp
- %TEMP%\tmp1da9.tmp
- %TEMP%\tmp1d59.tmp
- %TEMP%\tmp1b2c.tmp
- %TEMP%\tmp1d48.tmp
- %TEMP%\tmp1d19.tmp
- %TEMP%\tmp1d18.tmp
- %TEMP%\tmp1ce8.tmp
- %TEMP%\tmp1cd7.tmp
- %TEMP%\tmp1cd6.tmp
- %TEMP%\tmp1cc6.tmp
- %TEMP%\tmp1cc5.tmp
- %TEMP%\tmp1bb5.tmp
- %TEMP%\tmp1bb4.tmp
- %TEMP%\tmp1b94.tmp
- %TEMP%\tmp1a73.tmp
- %TEMP%\tmp1a62.tmp
- %TEMP%\tmp1a61.tmp
- %TEMP%\tmp1a60.tmp
- %TEMP%\tmp1a4f.tmp
- %TEMP%\tmp1a4e.tmp
- %TEMP%\tmp1a2e.tmp
- %TEMP%\tmp1a1e.tmp
- %TEMP%\tmp130b.tmp
- %TEMP%\tmp130a.tmp
- %TEMP%\tmpf71.tmp
- %TEMP%\tmpf60.tmp
- %TEMP%\tmpf4f.tmp
- %TEMP%\tmpf4e.tmp
- %TEMP%\tmpf4d.tmp
- %TEMP%\tmpf3d.tmp
- %TEMP%\tmp1a75.tmp
- %TEMP%\tmp1a85.tmp
- %TEMP%\tmp1a74.tmp
- %TEMP%\tmp1a86.tmp
- %TEMP%\tmp1b93.tmp
- %TEMP%\tmp1ab6.tmp
- %TEMP%\tmp1b82.tmp
- %TEMP%\tmp1b72.tmp
- %TEMP%\tmp1b71.tmp
- %TEMP%\tmp1b60.tmp
- %TEMP%\tmp1b5f.tmp
- %TEMP%\tmp1b3f.tmp
- %TEMP%\tmp1b2e.tmp
- %TEMP%\tmp1da8.tmp
- %TEMP%\tmp1e2e.tmp
- %TEMP%\tmp1b1c.tmp
- %TEMP%\tmp1b1b.tmp
- %TEMP%\tmp1afa.tmp
- %TEMP%\tmp1aea.tmp
- %TEMP%\tmp1ad9.tmp
- %TEMP%\tmp1ad8.tmp
- %TEMP%\tmp1ad7.tmp
- %TEMP%\tmp1ac7.tmp
- %TEMP%\tmp1b2d.tmp
- %TEMP%\tmp1e4e.tmp
Удаляет следующие файлы
- %TEMP%\tmpf3c.tmp
- %TEMP%\tmp1cb3.tmp
- %TEMP%\tmp1ca0.tmp
- %TEMP%\tmp1ca1.tmp
- %TEMP%\tmp1c7f.tmp
- %TEMP%\tmp1c90.tmp
- %TEMP%\tmp1c6e.tmp
- %TEMP%\tmp1c6f.tmp
- %TEMP%\tmp1c4c.tmp
- %TEMP%\tmp1c5d.tmp
- %TEMP%\tmp1c2b.tmp
- %TEMP%\tmp1c3c.tmp
- %TEMP%\tmp1c1a.tmp
- %TEMP%\tmp1c1b.tmp
- %TEMP%\tmp1c08.tmp
- %TEMP%\tmp1c09.tmp
- %TEMP%\tmp1bf6.tmp
- %TEMP%\tmp1bf7.tmp
- %TEMP%\tmp1bd6.tmp
- %TEMP%\tmp1bc6.tmp
- %TEMP%\tmp1cb2.tmp
- %TEMP%\tmp1cc5.tmp
- %TEMP%\tmp1e1d.tmp
- %TEMP%\tmp1e1c.tmp
- %TEMP%\tmp1e1b.tmp
- %TEMP%\tmp1dfb.tmp
- %TEMP%\tmp1dea.tmp
- %TEMP%\tmp1dca.tmp
- %TEMP%\tmp1dba.tmp
- %TEMP%\tmp1da9.tmp
- %TEMP%\tmp1d48.tmp
- %TEMP%\tmp1b1c.tmp
- %TEMP%\tmp1d59.tmp
- %TEMP%\tmp1d18.tmp
- %TEMP%\tmp1d19.tmp
- %TEMP%\tmp1cd7.tmp
- %TEMP%\tmp1ce8.tmp
- %TEMP%\tmp1cc6.tmp
- %TEMP%\tmp1cd6.tmp
- %TEMP%\tmp1cc4.tmp
- %TEMP%\tmp1bb4.tmp
- %TEMP%\tmp1bb5.tmp
- %TEMP%\tmp1b93.tmp
- %TEMP%\tmp1a62.tmp
- %TEMP%\tmp1a73.tmp
- %TEMP%\tmp1a60.tmp
- %TEMP%\tmp1a61.tmp
- %TEMP%\tmp1a4e.tmp
- %TEMP%\tmp1a4f.tmp
- %TEMP%\tmp1a1e.tmp
- %TEMP%\tmp1a2e.tmp
- %TEMP%\tmp130b.tmp
- %TEMP%\tmp130a.tmp
- %TEMP%\tmpf71.tmp
- %TEMP%\tmpf60.tmp
- %TEMP%\tmpf4f.tmp
- %TEMP%\tmpf4e.tmp
- %TEMP%\tmpf4d.tmp
- %TEMP%\tmpf3d.tmp
- %TEMP%\tmp1a74.tmp
- %TEMP%\tmp1a86.tmp
- %TEMP%\tmp1a75.tmp
- %TEMP%\tmp1a85.tmp
- %TEMP%\tmp1b94.tmp
- %TEMP%\tmp1ac7.tmp
- %TEMP%\tmp1b72.tmp
- %TEMP%\tmp1b82.tmp
- %TEMP%\tmp1b60.tmp
- %TEMP%\tmp1b71.tmp
- %TEMP%\tmp1b3f.tmp
- %TEMP%\tmp1b5f.tmp
- %TEMP%\tmp1b2d.tmp
- %TEMP%\tmp1da8.tmp
- %TEMP%\tmp1e2e.tmp
- %TEMP%\tmp1b2c.tmp
- %TEMP%\tmp1afa.tmp
- %TEMP%\tmp1b1b.tmp
- %TEMP%\tmp1ad9.tmp
- %TEMP%\tmp1aea.tmp
- %TEMP%\tmp1ad7.tmp
- %TEMP%\tmp1ad8.tmp
- %TEMP%\tmp1ab6.tmp
- %TEMP%\tmp1b2e.tmp
- %TEMP%\tmp1e4e.tmp
Сетевая активность
Подключается к
- '18#.#30.139.12':23747
- 'ap#.ip.sb':443
- 'ip##fo.io':443
TCP
Запросы HTTP POST
- http://18#.###.139.12:23747/ via 18#.#30.139.12
Другие
- 'ap#.ip.sb':443
- 'ip##fo.io':443
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ip##fo.io
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
