Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tokens.txt
- %TEMP%\passwords.txt
- %TEMP%\tmp43b4.tmp.dat
- %TEMP%\tmp43e3.tmp.dat
- %TEMP%\tmpa17b.tmp.dat
- %TEMP%\tmpa17c.tmp.dat
- %TEMP%\tmpa19c.tmp.dat
- %TEMP%\tmpa1ac.tmp.dat
- %TEMP%\historicals.txt
- %TEMP%\capture.jpg
- %TEMP%\nordaccounts.txt
Удаляет следующие файлы
- %TEMP%\tmp43b4.tmp.dat
- %TEMP%\tmp43e3.tmp.dat
- %TEMP%\tmpa17b.tmp.dat
- %TEMP%\tmpa17c.tmp.dat
- %TEMP%\tmpa19c.tmp.dat
- %TEMP%\tmpa1ac.tmp.dat
Сетевая активность
Подключается к
- 'ch####p.dyndns.org':80
- 'di##ord.com':443
- 'ap#.##onfiles.com':443
TCP
Запросы HTTP GET
- http://ch####p.dyndns.org/
Другие
- 'di##ord.com':443
- 'ap#.##onfiles.com':443
UDP
- DNS ASK ch####p.dyndns.org
- DNS ASK di##ord.com
- DNS ASK ap#.##onfiles.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C chcp 65001 && netsh wlan show profile | findstr All
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\netsh.exe' wlan show profile
- '<SYSTEM32>\findstr.exe' All
- '<SYSTEM32>\cmd.exe' /C chcp 65001 && netsh wlan show profile name=65001 key=clear | findstr Key
- '<SYSTEM32>\netsh.exe' wlan show profile name=65001 key=clear
- '<SYSTEM32>\findstr.exe' Key
