Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- D:\users\user\appdata\local\google\chrome\user data\default\cookies
- D:\users\user\appdata\local\google\chrome\user data\default\login data
- D:\users\user\appdata\local\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\system.log1
- D:\programdata\37773443591813526321666736
- D:\programdata\52246655745350200538677866
- D:\programdata\48165164676381473160954338
- D:\programdata\58455582651957301728121032
- D:\programdata\90940793639062286940522763
- D:\programdata\01239414812530113591710365
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0y9o17dr\49_12_118_167[1].txt
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\windows\system32\winevt\logs\microsoft-windows-wer-diag%4operational.evtx
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\windows\system32\winevt\logs\microsoft-windows-fault-tolerant-heap%4operational.evtx
- D:\windows\system32\winevt\logs\system.evtx
- D:\users\user\ntuser.dat.log1
- D:\users\user\ntuser.dat
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\winevt\logs\application.evtx
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\c46e7b0f942663a1edc8d9d6d7869173_6043fc604a395e1485af7ac16d16b7ce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\c46e7b0f942663a1edc8d9d6d7869173_6043fc604a395e1485af7ac16d16b7ce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\ea618097e393409afa316f0f87e2c202_1e65fd33f74047223af4d58cbfd34bce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\ea618097e393409afa316f0f87e2c202_1e65fd33f74047223af4d58cbfd34bce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b3bb9c1ba2d19e090ae305b2683903a0_b89a63ac6877bd1ed812438ce82c3eb8
- D:\programdata\11258579807623885099464204
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b3bb9c1ba2d19e090ae305b2683903a0_b89a63ac6877bd1ed812438ce82c3eb8
- D:\programdata\28278470447047052555006482
- D:\programdata\freebl3.dll
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\windows\system32\config\system
- D:\system volume information\syscache.hve.log1
- D:\system volume information\syscache.hve
- D:\users\user\appdata\local\temp\cab46cf.tmp
- D:\users\user\appdata\local\temp\tar46d0.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\94308059b57b3142e455b38a6eb92015
- D:\users\user\appdata\local\temp\cab4a0c.tmp
- D:\users\user\appdata\local\temp\tar4a0d.tmp
- D:\users\user\appdata\local\temp\cab4a7b.tmp
- D:\users\user\appdata\local\temp\tar4a7c.tmp
- D:\users\user\appdata\local\temp\cab4b67.tmp
- D:\users\user\appdata\local\temp\tar4b78.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\edc238bff48a31d55a97e1e93892934b_c31b2498754e340573f1336de607d619
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\edc238bff48a31d55a97e1e93892934b_c31b2498754e340573f1336de607d619
- D:\users\user\appdata\local\temp\cab4d6c.tmp
- D:\users\user\appdata\local\temp\tar4d6d.tmp
- D:\programdata\vcruntime140.dll
- D:\programdata\softokn3.dll
- D:\programdata\nss3.dll
- D:\programdata\msvcp140.dll
- D:\programdata\mozglue.dll
- D:\programdata\17106752462579104916739788
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
Удаляет следующие файлы
- D:\users\user\appdata\local\temp\cab46cf.tmp
- D:\programdata\58455582651957301728121032
- D:\programdata\48165164676381473160954338
- D:\programdata\52246655745350200538677866
- D:\programdata\37773443591813526321666736
- D:\programdata\11258579807623885099464204
- D:\programdata\28278470447047052555006482
- D:\programdata\17106752462579104916739788
- D:\programdata\90940793639062286940522763
- D:\users\user\appdata\local\temp\tar4d6d.tmp
- D:\users\user\appdata\local\temp\tar4b78.tmp
- D:\users\user\appdata\local\temp\cab4b67.tmp
- D:\users\user\appdata\local\temp\tar4a7c.tmp
- D:\users\user\appdata\local\temp\cab4a7b.tmp
- D:\users\user\appdata\local\temp\tar4a0d.tmp
- D:\users\user\appdata\local\temp\cab4a0c.tmp
- D:\users\user\appdata\local\temp\tar46d0.tmp
- D:\users\user\appdata\local\temp\cab4d6c.tmp
- D:\programdata\01239414812530113591710365
Подменяет следующие файлы
- D:\programdata\28278470447047052555006482
- D:\programdata\52246655745350200538677866
- D:\programdata\01239414812530113591710365
Сетевая активность
Подключается к
- 't.#e':443
- 'st####ommunity.com':443
- '49.##.118.167':80
TCP
Запросы HTTP GET
- http://49.##.118.167/download.zip
- http://49.##.118.167/
Другие
- 't.#e':443
- 'st####ommunity.com':443
UDP
- DNS ASK t.#e
- DNS ASK st####ommunity.com
Другое
Создает и запускает на исполнение
- 'D:\windows\syswow64\werfault.exe' -u -p 1068 -s 880' (со скрытым окном)
