Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /f
- '%WINDIR%\syswow64\taskkill.exe' /im 0618737683.exe /f
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\0618737683.exe
- %ALLUSERSPROFILE%\10250524830503179121799438-shm
- %ALLUSERSPROFILE%\10250524830503179121799438
- %ALLUSERSPROFILE%\55303264794452739599823411
- %ALLUSERSPROFILE%\30830052641915065463012300
- %ALLUSERSPROFILE%\10548434766347135804722896
- %ALLUSERSPROFILE%\59847294774755159619979890
- %ALLUSERSPROFILE%\03820925571163708073600773
- %ALLUSERSPROFILE%\87457815327626044936699562
- %ALLUSERSPROFILE%\93538307496595870204313071
- %ALLUSERSPROFILE%\30642143015180029789967932
- %ALLUSERSPROFILE%\41422337916043693370221343
- %ALLUSERSPROFILE%\07182644741071427828380467
- %ALLUSERSPROFILE%\52857288404983884011569074-shm
- %ALLUSERSPROFILE%\52857288404983884011569074
- %ALLUSERSPROFILE%\freebl3.dll
- %ALLUSERSPROFILE%\mozglue.dll
- %ALLUSERSPROFILE%\msvcp140.dll
- %ALLUSERSPROFILE%\nss3.dll
- %ALLUSERSPROFILE%\softokn3.dll
- %ALLUSERSPROFILE%\vcruntime140.dll
- %ALLUSERSPROFILE%\93053354242519287450753617
- %ALLUSERSPROFILE%\55915374169527783828778053
Удаляет следующие файлы
- %ALLUSERSPROFILE%\52857288404983884011569074-shm
- %ALLUSERSPROFILE%\30642143015180029789967932
- %ALLUSERSPROFILE%\10250524830503179121799438
- %ALLUSERSPROFILE%\10250524830503179121799438-shm
- %ALLUSERSPROFILE%\55303264794452739599823411
- %ALLUSERSPROFILE%\30830052641915065463012300
- %ALLUSERSPROFILE%\10548434766347135804722896
- %ALLUSERSPROFILE%\55915374169527783828778053
- %ALLUSERSPROFILE%\59847294774755159619979890
- %ALLUSERSPROFILE%\87457815327626044936699562
- %ALLUSERSPROFILE%\93538307496595870204313071
- %ALLUSERSPROFILE%\41422337916043693370221343
- %ALLUSERSPROFILE%\93053354242519287450753617
- %ALLUSERSPROFILE%\07182644741071427828380467
- %ALLUSERSPROFILE%\52857288404983884011569074
- %ALLUSERSPROFILE%\03820925571163708073600773
- %TEMP%\0618737683.exe
Самоудаляется.
Сетевая активность
Подключается к
- '16#.#35.142.21':80
- 'script.google.com':80
- 'script.google.com':443
- 'sc####.##ogleusercontent.com':443
- 't.#e':443
- 'io#.#xchange':443
- '5.###.120.43':80
TCP
Запросы HTTP GET
- http://16#.#35.142.21/ip.php
- http://16#.#35.142.21/api/files/client/s31
- http://16#.#35.142.21/api/files/client/s32
- http://16#.#35.142.21/api/files/client/s33
- http://16#.#35.142.21/api/files/client/s34
- http://script.google.com/macros/s/AKfycbz21u-L1PTVXIxJD1UCkt1GajbXG-90srMPh8YHo9mnvHStnBQvo9KeCp8f52M2y5NW/exec?xf########################################################
- http://5.###.120.43/6831638931.zip
- http://5.###.120.43/1636
Другие
- 'script.google.com':443
- 'sc####.##ogleusercontent.com':443
- 't.#e':443
- 'io#.#xchange':443
UDP
- DNS ASK script.google.com
- DNS ASK sc####.##ogleusercontent.com
- DNS ASK t.#e
- DNS ASK io#.#xchange
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\0618737683.exe'
- '%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\0618737683.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' %/c taskkill /im 0618737683.exe /f & timeout /t 6 & del /f /q "%TEMP%\0618737683.exe" & del C:\PrograData\*.dll & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\0618737683.exe"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit
- '%WINDIR%\syswow64\cmd.exe' %/c taskkill /im 0618737683.exe /f & timeout /t 6 & del /f /q "%TEMP%\0618737683.exe" & del C:\PrograData\*.dll & exit
- '%WINDIR%\syswow64\timeout.exe' /t 6
