Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpd48d.tmp
- %TEMP%\tmpd6d8.tmp
- %TEMP%\tmpd6d7.tmp
- %TEMP%\tmpd6d6.tmp
- %TEMP%\tmpd6d5.tmp
- %TEMP%\tmpd6c4.tmp
- %TEMP%\tmpd6c3.tmp
- %TEMP%\tmpd6c2.tmp
- %TEMP%\tmpd6b2.tmp
- %TEMP%\tmpd6b1.tmp
- %TEMP%\tmpd6b0.tmp
- %TEMP%\tmpd6af.tmp
- %TEMP%\tmpd69e.tmp
- %TEMP%\tmpd69d.tmp
- %TEMP%\tmpd68c.tmp
- %TEMP%\tmpd68b.tmp
- %TEMP%\tmpd68a.tmp
- %TEMP%\tmpd689.tmp
- %TEMP%\tmpd679.tmp
- %TEMP%\tmpd678.tmp
- %TEMP%\tmpd677.tmp
- %TEMP%\tmpd666.tmp
- %TEMP%\tmpd6e8.tmp
- %TEMP%\tmpd6e9.tmp
- %TEMP%\tmpd6ea.tmp
- %TEMP%\tmpd6fb.tmp
- %TEMP%\tmpd79d.tmp
- %TEMP%\tmpd77d.tmp
- %TEMP%\tmpd76d.tmp
- %TEMP%\tmpd75c.tmp
- %TEMP%\tmpd75b.tmp
- %TEMP%\tmpd75a.tmp
- %TEMP%\tmpd749.tmp
- %TEMP%\tmpd748.tmp
- %TEMP%\tmpd747.tmp
- %TEMP%\tmpd746.tmp
- %TEMP%\tmpd735.tmp
- %TEMP%\tmpd736.tmp
- %TEMP%\tmpd734.tmp
- %TEMP%\tmpd723.tmp
- %TEMP%\tmpd722.tmp
- %TEMP%\tmpd721.tmp
- %TEMP%\tmpd711.tmp
- %TEMP%\tmpd710.tmp
- %TEMP%\tmpd70f.tmp
- %TEMP%\tmpd6fe.tmp
- %TEMP%\tmpd6fd.tmp
- %TEMP%\tmpd6fc.tmp
- %TEMP%\tmpd7ae.tmp
- %TEMP%\tmpd665.tmp
- %TEMP%\tmpd664.tmp
- %TEMP%\tmpd654.tmp
- %TEMP%\tmpd59c.tmp
- %TEMP%\tmpd56c.tmp
- %TEMP%\tmpd56b.tmp
- %TEMP%\tmpd56a.tmp
- %TEMP%\tmpd559.tmp
- %TEMP%\tmpd549.tmp
- %TEMP%\tmpd548.tmp
- %TEMP%\tmpd537.tmp
- %TEMP%\tmpd536.tmp
- %TEMP%\tmpd525.tmp
- %TEMP%\tmpd524.tmp
- %TEMP%\tmpd514.tmp
- %TEMP%\tmpd513.tmp
- %TEMP%\tmpd502.tmp
- %TEMP%\tmpd501.tmp
- %TEMP%\tmpd4f1.tmp
- %TEMP%\tmpd4f0.tmp
- %TEMP%\tmpd4ef.tmp
- %TEMP%\tmpd4de.tmp
- %TEMP%\tmpd4dd.tmp
- %TEMP%\tmpd49e.tmp
- %TEMP%\tmpd59d.tmp
- %TEMP%\tmpd59e.tmp
- %TEMP%\tmpd5ae.tmp
- %TEMP%\tmpd5af.tmp
- %TEMP%\tmpd642.tmp
- %TEMP%\tmpd641.tmp
- %TEMP%\tmpd630.tmp
- %TEMP%\tmpd62f.tmp
- %TEMP%\tmpd62e.tmp
- %TEMP%\tmpd61e.tmp
- %TEMP%\tmpd61d.tmp
- %TEMP%\tmpd61c.tmp
- %TEMP%\tmpd60b.tmp
- %TEMP%\tmpd60a.tmp
- %TEMP%\tmpd5f9.tmp
- %TEMP%\tmpd5fa.tmp
- %TEMP%\tmpd5e8.tmp
- %TEMP%\tmpd5e7.tmp
- %TEMP%\tmpd5e6.tmp
- %TEMP%\tmpd5d5.tmp
- %TEMP%\tmpd5d4.tmp
- %TEMP%\tmpd5d3.tmp
- %TEMP%\tmpd5c3.tmp
- %TEMP%\tmpd5c2.tmp
- %TEMP%\tmpd5c1.tmp
- %TEMP%\tmpd5b0.tmp
- %TEMP%\tmpd653.tmp
- nul
Удаляет следующие файлы
- %TEMP%\tmpd49e.tmp
- %TEMP%\tmpd68c.tmp
- %TEMP%\tmpd69e.tmp
- %TEMP%\tmpd6b0.tmp
- %TEMP%\tmpd6b2.tmp
- %TEMP%\tmpd6c3.tmp
- %TEMP%\tmpd6d5.tmp
- %TEMP%\tmpd6d7.tmp
- %TEMP%\tmpd6e8.tmp
- %TEMP%\tmpd6ea.tmp
- %TEMP%\tmpd679.tmp
- %TEMP%\tmpd68a.tmp
- %TEMP%\tmpd6fc.tmp
- %TEMP%\tmpd721.tmp
- %TEMP%\tmpd723.tmp
- %TEMP%\tmpd735.tmp
- %TEMP%\tmpd746.tmp
- %TEMP%\tmpd748.tmp
- %TEMP%\tmpd75a.tmp
- %TEMP%\tmpd75c.tmp
- %TEMP%\tmpd76d.tmp
- %TEMP%\tmpd77d.tmp
- %TEMP%\tmpd6fe.tmp
- %TEMP%\tmpd710.tmp
- %TEMP%\tmpd677.tmp
- %TEMP%\tmpd665.tmp
- %TEMP%\tmpd654.tmp
- %TEMP%\tmpd4f0.tmp
- %TEMP%\tmpd501.tmp
- %TEMP%\tmpd513.tmp
- %TEMP%\tmpd524.tmp
- %TEMP%\tmpd536.tmp
- %TEMP%\tmpd548.tmp
- %TEMP%\tmpd559.tmp
- %TEMP%\tmpd56b.tmp
- %TEMP%\tmpd59c.tmp
- %TEMP%\tmpd59e.tmp
- %TEMP%\tmpd4de.tmp
- %TEMP%\tmpd5af.tmp
- %TEMP%\tmpd5c3.tmp
- %TEMP%\tmpd5d4.tmp
- %TEMP%\tmpd5e6.tmp
- %TEMP%\tmpd5e8.tmp
- %TEMP%\tmpd5fa.tmp
- %TEMP%\tmpd60b.tmp
- %TEMP%\tmpd61d.tmp
- %TEMP%\tmpd62e.tmp
- %TEMP%\tmpd630.tmp
- %TEMP%\tmpd642.tmp
- %TEMP%\tmpd5c1.tmp
- %TEMP%\tmpd79d.tmp
- %TEMP%\tmpd7ae.tmp
Самоудаляется.
Сетевая активность
Подключается к
- '20#.#82.218.94':35253
- 'ap#.ip.sb':443
- 'ch#####.amazonaws.com':80
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
- 'ge###ugin.net':80
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Другие
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
