Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\sqlite3.dll
- %ALLUSERSPROFILE%\51301760105936609485211361
- %ALLUSERSPROFILE%\31039242022468779646944969-shm
- %ALLUSERSPROFILE%\31039242022468779646944969
- %ALLUSERSPROFILE%\36876616146572607676064319
- %ALLUSERSPROFILE%\24484298261924787017876605
- %ALLUSERSPROFILE%\99031066018587303871783795
- %ALLUSERSPROFILE%\75768857976049650742972572
- %ALLUSERSPROFILE%\03303479822291896120641471
- %ALLUSERSPROFILE%\54385607442761618016569834
- %ALLUSERSPROFILE%\67466111491700454584263352
- %ALLUSERSPROFILE%\47194492516152517725095650
- %ALLUSERSPROFILE%\06158159219277389459193517
- %ALLUSERSPROFILE%\51301760105936609485211361-shm
- %ALLUSERSPROFILE%\10339842288148903047916035
- %ALLUSERSPROFILE%\09959224103570085488629453
- %ALLUSERSPROFILE%\19035705068769533464611757-shm
- %ALLUSERSPROFILE%\19035705068769533464611757
- %ALLUSERSPROFILE%\12834807143160331273167672
- %ALLUSERSPROFILE%\26983088633614772362984422-shm
- %ALLUSERSPROFILE%\26983088633614772362984422
- %ALLUSERSPROFILE%\freebl3.dll
- %ALLUSERSPROFILE%\mozglue.dll
- %ALLUSERSPROFILE%\msvcp140.dll
- %ALLUSERSPROFILE%\nss3.dll
- %ALLUSERSPROFILE%\softokn3.dll
- %ALLUSERSPROFILE%\vcruntime140.dll
- %ALLUSERSPROFILE%\95866630134601459811903915
- %ALLUSERSPROFILE%\72872009284070485815597678
Удаляет следующие файлы
- %ALLUSERSPROFILE%\26983088633614772362984422-shm
- %ALLUSERSPROFILE%\51301760105936609485211361
- %ALLUSERSPROFILE%\51301760105936609485211361-shm
- %ALLUSERSPROFILE%\31039242022468779646944969
- %ALLUSERSPROFILE%\31039242022468779646944969-shm
- %ALLUSERSPROFILE%\36876616146572607676064319
- %ALLUSERSPROFILE%\24484298261924787017876605
- %ALLUSERSPROFILE%\99031066018587303871783795
- %ALLUSERSPROFILE%\75768857976049650742972572
- %ALLUSERSPROFILE%\03303479822291896120641471
- %ALLUSERSPROFILE%\72872009284070485815597678
- %ALLUSERSPROFILE%\54385607442761618016569834
- %ALLUSERSPROFILE%\47194492516152517725095650
- %ALLUSERSPROFILE%\06158159219277389459193517
- %ALLUSERSPROFILE%\10339842288148903047916035
- %ALLUSERSPROFILE%\95866630134601459811903915
- %ALLUSERSPROFILE%\09959224103570085488629453
- %ALLUSERSPROFILE%\19035705068769533464611757
- %ALLUSERSPROFILE%\19035705068769533464611757-shm
- %ALLUSERSPROFILE%\12834807143160331273167672
- %ALLUSERSPROFILE%\26983088633614772362984422
- %ALLUSERSPROFILE%\67466111491700454584263352
- %WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe
Подменяет следующие файлы
- %ALLUSERSPROFILE%\36876616146572607676064319
- %ALLUSERSPROFILE%\72872009284070485815597678
Сетевая активность
Подключается к
- 't.#e':443
- 'c.#m':443
- 'microsoft.com':80
- '95.##6.182.38':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://95.##6.182.38/024489265044.zip
- http://95.##6.182.38/1707
Другие
- 't.#e':443
- 'c.#m':443
UDP
- DNS ASK t.#e
- DNS ASK c.#m
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 6 & del /f /q "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe" & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe'
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 6 & del /f /q "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe" & exit
- '%WINDIR%\syswow64\timeout.exe' /t 6
