Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nafifas
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\data\data.exe
- %TEMP%\tmp91f0.tmp
- %TEMP%\tmp91ef.tmp
- %TEMP%\tmp91de.tmp
- %TEMP%\tmp91dd.tmp
- %TEMP%\tmp91dc.tmp
- %TEMP%\tmp91cc.tmp
- %TEMP%\tmp91ac.tmp
- %TEMP%\tmp91ab.tmp
- %TEMP%\tmp919a.tmp
- %TEMP%\tmp9199.tmp
- %TEMP%\tmp9198.tmp
- %TEMP%\tmp9187.tmp
- %TEMP%\tmp9186.tmp
- %TEMP%\tmp9185.tmp
- %TEMP%\tmp9175.tmp
- %TEMP%\tmp9174.tmp
- %TEMP%\tmp9163.tmp
- %TEMP%\tmp9162.tmp
- %TEMP%\tmp9152.tmp
- %TEMP%\tmp9151.tmp
- %TEMP%\tmp9140.tmp
- %TEMP%\tmp913f.tmp
- %TEMP%\tmp9092.tmp
- %TEMP%\tmp9091.tmp
- %TEMP%\tmp9090.tmp
- %TEMP%\tmp9080.tmp
- %TEMP%\tmp907f.tmp
- %TEMP%\tmp907e.tmp
- %TEMP%\tmp906d.tmp
- %TEMP%\tmp9201.tmp
- %TEMP%\tmp9202.tmp
- %TEMP%\tmp9212.tmp
- %TEMP%\tmp9213.tmp
- %TEMP%\tmp9b55.tmp
- %TEMP%\tmp9b45.tmp
- %TEMP%\tmp9480.tmp
- %TEMP%\tmp946f.tmp
- %TEMP%\tmp92f8.tmp
- %TEMP%\tmp92e7.tmp
- %TEMP%\tmp92c7.tmp
- %TEMP%\tmp92b7.tmp
- %TEMP%\tmp9296.tmp
- %TEMP%\tmp9286.tmp
- %TEMP%\tmp9285.tmp
- %TEMP%\tmp9274.tmp
- %TEMP%\tmp9273.tmp
- %TEMP%\tmp9272.tmp
- %TEMP%\tmp9261.tmp
- %TEMP%\tmp9262.tmp
- %TEMP%\tmp9260.tmp
- %TEMP%\tmp925f.tmp
- %TEMP%\tmp924e.tmp
- %TEMP%\tmp924d.tmp
- %TEMP%\tmp924c.tmp
- %TEMP%\tmp923b.tmp
- %TEMP%\tmp923a.tmp
- %TEMP%\tmp9239.tmp
- %TEMP%\tmp9229.tmp
- %TEMP%\tmp9228.tmp
- %TEMP%\tmp9227.tmp
- %TEMP%\tmp9226.tmp
- %TEMP%\tmp9215.tmp
- %TEMP%\tmp9214.tmp
- %TEMP%\tmp9b56.tmp
- %TEMP%\tmp906c.tmp
- %TEMP%\tmpe9f3.tmp
- %TEMP%\tmpe9e3.tmp
- %TEMP%\tmpe07b.tmp
- %TEMP%\tmpe07a.tmp
- %TEMP%\tmpe06a.tmp
- %TEMP%\tmpe069.tmp
- %TEMP%\tmpe068.tmp
- %TEMP%\tmpe057.tmp
- %TEMP%\tmpe056.tmp
- %TEMP%\tmpe046.tmp
- %TEMP%\tmpe045.tmp
- %TEMP%\tmpe024.tmp
- %TEMP%\tmpe004.tmp
- %TEMP%\tmpdfd4.tmp
- %TEMP%\tmpdfd3.tmp
- %TEMP%\tmpdfc3.tmp
- %TEMP%\tmpdfc2.tmp
- %TEMP%\tmpdfc1.tmp
- %TEMP%\tmpdfa1.tmp
- %TEMP%\tmpdf90.tmp
- %TEMP%\tmpdf7f.tmp
- %TEMP%\tmpdf7e.tmp
- %TEMP%\tmpdf6e.tmp
- %TEMP%\tmpdf3e.tmp
- %TEMP%\tmpdf2d.tmp
- %TEMP%\tmpd878.tmp
- %TEMP%\tmpd877.tmp
- %TEMP%\tmpcffe.tmp
- %TEMP%\tmpcffd.tmp
- %TEMP%\tmpcfec.tmp
- %TEMP%\tmpcfeb.tmp
- %TEMP%\tmpe08c.tmp
- %TEMP%\tmpe0db.tmp
- %TEMP%\tmpe0fb.tmp
- %TEMP%\tmpe0fc.tmp
- %TEMP%\tmpe9d1.tmp
- %TEMP%\tmpe9d0.tmp
- %TEMP%\tmpe9bf.tmp
- %TEMP%\tmpe9be.tmp
- %TEMP%\tmpe99e.tmp
- %TEMP%\tmpe328.tmp
- %TEMP%\tmpe2e8.tmp
- %TEMP%\tmpe21c.tmp
- %TEMP%\tmpe21b.tmp
- %TEMP%\tmpe1ec.tmp
- %TEMP%\tmpe1eb.tmp
- %TEMP%\tmpe1da.tmp
- %TEMP%\tmpe1d9.tmp
- %TEMP%\tmpe1d8.tmp
- %TEMP%\tmpe1c6.tmp
- %TEMP%\tmpe1c7.tmp
- %TEMP%\tmpe1c5.tmp
- %TEMP%\tmpe1b5.tmp
- %TEMP%\tmpe1b4.tmp
- %TEMP%\tmpe1b3.tmp
- %TEMP%\tmpe183.tmp
- %TEMP%\tmpe153.tmp
- %TEMP%\tmpe152.tmp
- %TEMP%\tmpe151.tmp
- %TEMP%\tmpe141.tmp
- %TEMP%\tmpe140.tmp
- %TEMP%\tmpe11f.tmp
- %TEMP%\tmpe11e.tmp
- %TEMP%\tmpe10e.tmp
- %TEMP%\tmpe10d.tmp
- %TEMP%\tmpe9e2.tmp
- %TEMP%\tmp9b67.tmp
Удаляет следующие файлы
- %TEMP%\tmpcfeb.tmp
- %TEMP%\tmp9201.tmp
- %TEMP%\tmp9202.tmp
- %TEMP%\tmp91ef.tmp
- %TEMP%\tmp91f0.tmp
- %TEMP%\tmp91dd.tmp
- %TEMP%\tmp91de.tmp
- %TEMP%\tmp91cc.tmp
- %TEMP%\tmp91dc.tmp
- %TEMP%\tmp91ab.tmp
- %TEMP%\tmp91ac.tmp
- %TEMP%\tmp9199.tmp
- %TEMP%\tmp919a.tmp
- %TEMP%\tmp9187.tmp
- %TEMP%\tmp9198.tmp
- %TEMP%\tmp9185.tmp
- %TEMP%\tmp9186.tmp
- %TEMP%\tmp9174.tmp
- %TEMP%\tmp9175.tmp
- %TEMP%\tmp9162.tmp
- %TEMP%\tmp9163.tmp
- %TEMP%\tmp9151.tmp
- %TEMP%\tmp9152.tmp
- %TEMP%\tmp913f.tmp
- %TEMP%\tmp9140.tmp
- %TEMP%\tmp9092.tmp
- %TEMP%\tmp9091.tmp
- %TEMP%\tmp9090.tmp
- %TEMP%\tmp9080.tmp
- %TEMP%\tmp907f.tmp
- %TEMP%\tmp906d.tmp
- %TEMP%\tmp907e.tmp
- %TEMP%\tmp9213.tmp
- %TEMP%\tmp9212.tmp
- %TEMP%\tmp9b55.tmp
- %TEMP%\tmp9b45.tmp
- %TEMP%\tmp9480.tmp
- %TEMP%\tmp946f.tmp
- %TEMP%\tmp92e7.tmp
- %TEMP%\tmp92f8.tmp
- %TEMP%\tmp92b7.tmp
- %TEMP%\tmp92c7.tmp
- %TEMP%\tmp9286.tmp
- %TEMP%\tmp9296.tmp
- %TEMP%\tmp9274.tmp
- %TEMP%\tmp9285.tmp
- %TEMP%\tmp9272.tmp
- %TEMP%\tmp9273.tmp
- %TEMP%\tmp9262.tmp
- %TEMP%\tmpe1d8.tmp
- %TEMP%\tmp925f.tmp
- %TEMP%\tmp9260.tmp
- %TEMP%\tmp924d.tmp
- %TEMP%\tmp924e.tmp
- %TEMP%\tmp923b.tmp
- %TEMP%\tmp924c.tmp
- %TEMP%\tmp9239.tmp
- %TEMP%\tmp923a.tmp
- %TEMP%\tmp9228.tmp
- %TEMP%\tmp9229.tmp
- %TEMP%\tmp9226.tmp
- %TEMP%\tmp9227.tmp
- %TEMP%\tmp9214.tmp
- %TEMP%\tmp9215.tmp
- %TEMP%\tmp906c.tmp
- %TEMP%\tmpe9f3.tmp
- %TEMP%\tmpe9e3.tmp
- %TEMP%\tmpe08c.tmp
- %TEMP%\tmpe06a.tmp
- %TEMP%\tmpe07a.tmp
- %TEMP%\tmpe068.tmp
- %TEMP%\tmpe069.tmp
- %TEMP%\tmpe056.tmp
- %TEMP%\tmpe057.tmp
- %TEMP%\tmpe045.tmp
- %TEMP%\tmpe046.tmp
- %TEMP%\tmpe004.tmp
- %TEMP%\tmpe024.tmp
- %TEMP%\tmpdfd3.tmp
- %TEMP%\tmpdfd4.tmp
- %TEMP%\tmpdfc2.tmp
- %TEMP%\tmpdfc3.tmp
- %TEMP%\tmpdfa1.tmp
- %TEMP%\tmpdfc1.tmp
- %TEMP%\tmpdf7f.tmp
- %TEMP%\tmpdf90.tmp
- %TEMP%\tmpdf6e.tmp
- %TEMP%\tmpdf7e.tmp
- %TEMP%\tmpdf2d.tmp
- %TEMP%\tmpdf3e.tmp
- %TEMP%\tmpd878.tmp
- %TEMP%\tmpd877.tmp
- %TEMP%\tmpcffe.tmp
- %TEMP%\tmpcffd.tmp
- %TEMP%\tmpcfec.tmp
- %TEMP%\tmpe0fb.tmp
- %TEMP%\tmpe0db.tmp
- %TEMP%\tmpe07b.tmp
- %TEMP%\tmpe10d.tmp
- %TEMP%\tmpe9e2.tmp
- %TEMP%\tmpe0fc.tmp
- %TEMP%\tmpe9d1.tmp
- %TEMP%\tmpe9d0.tmp
- %TEMP%\tmpe9bf.tmp
- %TEMP%\tmpe9be.tmp
- %TEMP%\tmpe99e.tmp
- %TEMP%\tmpe2e8.tmp
- %TEMP%\tmpe328.tmp
- %TEMP%\tmpe21b.tmp
- %TEMP%\tmpe21c.tmp
- %TEMP%\tmpe1eb.tmp
- %TEMP%\tmpe1ec.tmp
- %TEMP%\tmpe1d9.tmp
- %TEMP%\tmpe1da.tmp
- %TEMP%\tmp9261.tmp
- %TEMP%\tmp9b56.tmp
- %TEMP%\tmpe1c5.tmp
- %TEMP%\tmpe1c6.tmp
- %TEMP%\tmpe1b4.tmp
- %TEMP%\tmpe1b5.tmp
- %TEMP%\tmpe183.tmp
- %TEMP%\tmpe1b3.tmp
- %TEMP%\tmpe152.tmp
- %TEMP%\tmpe153.tmp
- %TEMP%\tmpe141.tmp
- %TEMP%\tmpe151.tmp
- %TEMP%\tmpe11f.tmp
- %TEMP%\tmpe140.tmp
- %TEMP%\tmpe10e.tmp
- %TEMP%\tmpe11e.tmp
- %TEMP%\tmpe1c7.tmp
- %TEMP%\tmp9b67.tmp
Сетевая активность
Подключается к
- '14#.#28.29.114':50298
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://14#.###.29.114:50298/ via 14#.#28.29.114
Другие
- 'ap#.ip.sb':443
UDP
- DNS ASK ap#.ip.sb
Другое
Создает и запускает на исполнение
- '%APPDATA%\data\data.exe'
- '%APPDATA%\data\data.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe'
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /create /sc minute /mo 1 /tn "Nafifas" /tr "'%APPDATA%\Data\Data.exe'" /f
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "Nafifas" /tr "'%APPDATA%\Data\Data.exe'" /f
- '%WINDIR%\syswow64\cmd.exe' /C copy "<Полный путь к файлу>" "%APPDATA%\Data\Data.exe"
- '<SYSTEM32>\taskeng.exe' {358D9F17-E710-43B1-B6E2-48507631B0BB} S-1-5-21-1960123792-2022915161-3775307078-1001:mapbjx\user:Interactive:[1]
- '%WINDIR%\syswow64\cmd.exe' /C copy "%APPDATA%\Data\Data.exe" "%APPDATA%\Data\Data.exe"
