Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cpu_id_952484.txt
- %TEMP%\mb_id_952484.txt
- %TEMP%\os_955046.txt
- %TEMP%\sqlite_956265.db
- %TEMP%\sqlite_956281.db
- %TEMP%\sqlite_956296.db
- %TEMP%\sqlite_956312.db
- %TEMP%\sqlite_956328.db
Удаляет файлы, которые сам же создал
- %TEMP%\cpu_id_952484.txt
- %TEMP%\mb_id_952484.txt
- %TEMP%\os_955046.txt
- %TEMP%\sqlite_956265.db
- %TEMP%\sqlite_956281.db
- %TEMP%\sqlite_956296.db
- %TEMP%\sqlite_956312.db
- %TEMP%\sqlite_956328.db
Подменяет следующие файлы
- %TEMP%\sqlite_956281.db
- %TEMP%\sqlite_956296.db
- %TEMP%\sqlite_956312.db
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c wmic cpu get ProcessorId > "%TEMP%\\cpu_id_952484.txt" 2>nul
- '<SYSTEM32>\wbem\wmic.exe' cpu get ProcessorId
- '<SYSTEM32>\cmd.exe' /c wmic baseboard get serialnumber > "%TEMP%\\mb_id_952484.txt" 2>nul
- '<SYSTEM32>\wbem\wmic.exe' baseboard get serialnumber
- '<SYSTEM32>\cmd.exe' /c wmic os get caption > "%TEMP%\\os_955046.txt" 2>nul
- '<SYSTEM32>\wbem\wmic.exe' os get caption
