Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\vcruntime140.dll
- %ALLUSERSPROFILE%\50385617186599087507.exe
- %ALLUSERSPROFILE%\50190674679036570142819074
- %ALLUSERSPROFILE%\64084375648095304530633502
- %ALLUSERSPROFILE%\49811256594558640393822492
- %ALLUSERSPROFILE%\14076305266545348596541877-shm
- %ALLUSERSPROFILE%\14076305266545348596541877
- %ALLUSERSPROFILE%\28157817414414874174267385-shm
- %ALLUSERSPROFILE%\28157817414414874174267385
- %ALLUSERSPROFILE%\12499536785514892749046077
- %ALLUSERSPROFILE%\25580027754383318227760505
- %ALLUSERSPROFILE%\01117115500846964188959575
- %ALLUSERSPROFILE%\86664986457309280972965452
- %ALLUSERSPROFILE%\62634777818334958996903578
- %ALLUSERSPROFILE%\25879147599348374918825954
- %ALLUSERSPROFILE%\15489428415770427359535472
- %ALLUSERSPROFILE%\04117800532294509591547767
- %ALLUSERSPROFILE%\53471659235218279225445636
- %ALLUSERSPROFILE%\67562250203089095813268153
- %ALLUSERSPROFILE%\43099038050542321676475032
- %ALLUSERSPROFILE%\14182481397382057876449174-shm
- %ALLUSERSPROFILE%\14182481397382057876449174
- %ALLUSERSPROFILE%\28366174465353883154263612
- %ALLUSERSPROFILE%\66258112963800525230173855-shm
- %ALLUSERSPROFILE%\66258112963800525230173855
- %ALLUSERSPROFILE%\freebl3.dll
- %ALLUSERSPROFILE%\mozglue.dll
- %ALLUSERSPROFILE%\msvcp140.dll
- %ALLUSERSPROFILE%\nss3.dll
- %ALLUSERSPROFILE%\softokn3.dll
- %ALLUSERSPROFILE%\53773263020801780445.exe
- %ALLUSERSPROFILE%\vcruntime140.dllfreebl3.dll-type3.3.1.5\vcruntime140.dllfreebl3.dll-type3.3.1.5.exe
Удаляет следующие файлы
- %ALLUSERSPROFILE%\66258112963800525230173855-shm
- %ALLUSERSPROFILE%\49811256594558640393822492
- %ALLUSERSPROFILE%\14076305266545348596541877
- %ALLUSERSPROFILE%\14076305266545348596541877-shm
- %ALLUSERSPROFILE%\28157817414414874174267385
- %ALLUSERSPROFILE%\28157817414414874174267385-shm
- %ALLUSERSPROFILE%\12499536785514892749046077
- %ALLUSERSPROFILE%\25580027754383318227760505
- %ALLUSERSPROFILE%\01117115500846964188959575
- %ALLUSERSPROFILE%\86664986457309280972965452
- %ALLUSERSPROFILE%\64084375648095304530633502
- %ALLUSERSPROFILE%\62634777818334958996903578
- %ALLUSERSPROFILE%\15489428415770427359535472
- %ALLUSERSPROFILE%\04117800532294509591547767
- %ALLUSERSPROFILE%\53471659235218279225445636
- %ALLUSERSPROFILE%\67562250203089095813268153
- %ALLUSERSPROFILE%\43099038050542321676475032
- %ALLUSERSPROFILE%\14182481397382057876449174
- %ALLUSERSPROFILE%\14182481397382057876449174-shm
- %ALLUSERSPROFILE%\28366174465353883154263612
- %ALLUSERSPROFILE%\66258112963800525230173855
- %ALLUSERSPROFILE%\25879147599348374918825954
- %ALLUSERSPROFILE%\50190674679036570142819074
Подменяет следующие файлы
- %ALLUSERSPROFILE%\25879147599348374918825954
- %ALLUSERSPROFILE%\12499536785514892749046077
- %ALLUSERSPROFILE%\49811256594558640393822492
- %ALLUSERSPROFILE%\64084375648095304530633502
- %ALLUSERSPROFILE%\50190674679036570142819074
Сетевая активность
Подключается к
- 't.#e':443
- 'st####ommunity.com':443
- 'microsoft.com':80
- '15#.#0.148.112':80
- '77.##.134.24':80
- '77.##.134.35':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://15#.#0.148.112/get.zip
- http://15#.#0.148.112/15
- http://77.##.134.24/Clip1.exe
- http://77.##.134.35/bebra.exe
Другие
- 't.#e':443
- 'st####ommunity.com':443
UDP
- DNS ASK t.#e
- DNS ASK st####ommunity.com
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\50385617186599087507.exe'
- '%ALLUSERSPROFILE%\53773263020801780445.exe'
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 6 & del /f /q "<Полный путь к файлу>" & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 6 & del /f /q "<Полный путь к файлу>" & exit
- '%WINDIR%\syswow64\timeout.exe' /t 6
