Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\insidious_protected.exe
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\win32_copydrop32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\invalid32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\cursors.properties
- %APPDATA%\.vimeworld\jre-x64\lib\hijrah-config-umalqura.properties
- %APPDATA%\.vimeworld\jre-x64\lib\fontconfig.properties.src
- %APPDATA%\.vimeworld\jre-x64\lib\fontconfig.bfc
- %APPDATA%\.vimeworld\jre-x64\lib\flavormap.properties
- %APPDATA%\.vimeworld\jre-x64\lib\ext\dnsns.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\zipfs.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\sunmscapi.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\sunjce_provider.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\sunec.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\nashorn.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\meta-index
- %APPDATA%\.vimeworld\jre-x64\lib\ext\localedata.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\jfxrt.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\sunpkcs11.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\jaccess.jar
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\win32_copynodrop32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\management\jmxremote.access
- %APPDATA%\.vimeworld\jre-x64\lib\psfontj2d.properties
- %APPDATA%\.vimeworld\jre-x64\lib\psfont.properties.ja
- %APPDATA%\.vimeworld\jre-x64\lib\net.properties
- %APPDATA%\.vimeworld\jre-x64\lib\meta-index
- %APPDATA%\.vimeworld\jre-x64\lib\management-agent.jar
- %APPDATA%\.vimeworld\jre-x64\lib\management\snmp.acl.template
- %APPDATA%\.vimeworld\jre-x64\lib\management\management.properties
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\win32_linknodrop32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\win32_linkdrop32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\logging.properties
- %APPDATA%\.vimeworld\jre-x64\lib\jsse.jar
- %APPDATA%\.vimeworld\jre-x64\lib\jfxswt.jar
- %APPDATA%\.vimeworld\jre-x64\lib\jce.jar
- %APPDATA%\.vimeworld\jre-x64\lib\javafx.properties
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\win32_movenodrop32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\images\cursors\win32_movedrop32x32.gif
- %APPDATA%\.vimeworld\jre-x64\lib\management\jmxremote.password.template
- %APPDATA%\.vimeworld\jre-x64\lib\ext\cldrdata.jar
- %APPDATA%\.vimeworld\jre-x64\lib\ext\access-bridge-64.jar
- %APPDATA%\.vimeworld\jre-x64\lib\currency.data
- %TEMP%\tmpdf6e.tmp.dat
- %TEMP%\tmpdf5d.tmp.tmpdb
- %TEMP%\tmpdf0e.tmp.tmpdb
- %APPDATA%\44\browsers\cookies_google(14).txt
- %TEMP%\tmpdeb0.tmp.dat
- C:\users\public\gn7ryp3k.default\key3.db
- %TEMP%\tmpdffc.tmp.dat
- %TEMP%\tmpde32.tmp.dat
- %TEMP%\tmpddc3.tmp.tmpdb
- %APPDATA%\44\telegram\usertag
- %TEMP%\tmpdd16.tmp.dat
- %APPDATA%\44\telegram\settings0
- %APPDATA%\44\telegram\d877f783d5d3ef8c\map0
- %TEMP%\tmpdbcd.tmp.tmpdb
- %TEMP%\vimeworld.exe
- %TEMP%\tmpddf2.tmp.dat
- C:\users\public\wjj9aet2.default\key3.db
- %TEMP%\tmpdfbd.tmp.dat
- %TEMP%\tmpe099.tmp.dat
- %APPDATA%\.vimeworld\jre-x64\lib\content-types.properties
- %APPDATA%\.vimeworld\jre-x64\lib\calendars.properties
- %APPDATA%\.vimeworld\jre-x64\lib\cmm\srgb.pf
- %APPDATA%\.vimeworld\jre-x64\lib\cmm\pycc.pf
- %APPDATA%\.vimeworld\jre-x64\lib\cmm\linear_rgb.pf
- %APPDATA%\.vimeworld\jre-x64\lib\cmm\gray.pf
- %APPDATA%\.vimeworld\jre-x64\lib\cmm\ciexyz.pf
- %APPDATA%\.vimeworld\jre-x64\lib\classlist
- %APPDATA%\.vimeworld\jre-x64\lib\charsets.jar
- %APPDATA%\.vimeworld\jre-x64\lib\amd64\jvm.cfg
- %APPDATA%\44\browsers\cookies_opera(75).txt
- %APPDATA%\.vimeworld\jre-x64\lib\accessibility.properties
- %APPDATA%\44\information.txt
- %APPDATA%\44\process.txt
- %APPDATA%\44\screen.png
- %APPDATA%\.vimeworld\jre-x64\jre.zip
- %TEMP%\imageio8163422895954881021.tmp
- %APPDATA%\44\browsers\opera\bookmarks.txt
- %APPDATA%\.vimeworld\jre-x64\lib\resources.jar
- %APPDATA%\.vimeworld\jre-x64\lib\rt.jar
Удаляет следующие файлы
- %TEMP%\tmpdd16.tmp.dat
- %TEMP%\tmpdbcd.tmp.tmpdb
- %TEMP%\tmpddf2.tmp.dat
- %TEMP%\tmpddc3.tmp.tmpdb
- %TEMP%\tmpde32.tmp.dat
- %TEMP%\tmpdeb0.tmp.dat
- %TEMP%\tmpdf0e.tmp.tmpdb
- %TEMP%\tmpdf5d.tmp.tmpdb
- %TEMP%\tmpdf6e.tmp.dat
- %TEMP%\tmpdfbd.tmp.dat
- %TEMP%\tmpdffc.tmp.dat
- %TEMP%\tmpe099.tmp.dat
- %TEMP%\imageio8163422895954881021.tmp
Сетевая активность
Подключается к
- 'cd#.##meworld.com':443
- 'fr###eoip.app':443
- 'ip##se.com':443
- 'fi####.vimeworld.net':80
TCP
Запросы HTTP GET
- http://fi####.vimeworld.net/files/dac6ef7af222f25bef8c29a1ad304e31.zip
Другие
- 'cd#.##meworld.com':443
- 'fr###eoip.app':443
- 'ip##se.com':443
UDP
- DNS ASK cd#.##meworld.com
- DNS ASK fr###eoip.app
- DNS ASK ip##se.com
- DNS ASK fi####.vimeworld.net
Другое
Создает и запускает на исполнение
- '%TEMP%\insidious_protected.exe'
- '%TEMP%\vimeworld.exe'
Запускает на исполнение
- '%ProgramFiles%\java\jre1.8.0_45\bin\javaw.exe' -Dvw-l4j="true" -jar "%TEMP%\VimeWorld.exe"
