Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ogmrqgqx\system_info.json
- %TEMP%\cookies_2.temp
- %TEMP%\secure preferences_9.temp
- %TEMP%\history_4.temp
- %TEMP%\history_5.temp
- %TEMP%\login data_1.temp
- %TEMP%\session storage_8.temp\current
- %TEMP%\session storage_8.temp\log
- %TEMP%\session storage_8.temp\manifest-000001
- %TEMP%\web data_6.temp
- %TEMP%\web data_10.temp
- %TEMP%\local state_0.temp
- %TEMP%\session storage_8.temp\manifest-000005
- %TEMP%\session storage_8.temp\current.bak
- %TEMP%\session storage_8.temp\current.5
- %TEMP%\session storage_8.temp\000004.log
- %TEMP%\ogmrqgqx\chrome_default_extension.json
- %TEMP%\ogmrqgqx\chrome_default_history.json
- %TEMP%\local storage\leveldb_7.temp\current
- %TEMP%\local storage\leveldb_7.temp\log
- %TEMP%\local storage\leveldb_7.temp\manifest-000001
- %TEMP%\local storage\leveldb_7.temp\manifest-000005
- %TEMP%\local storage\leveldb_7.temp\current.bak
- %TEMP%\local storage\leveldb_7.temp\current.5
- %TEMP%\local storage\leveldb_7.temp\000004.log
- %TEMP%\cookies.sqlite_15.temp
- %TEMP%\extensions.json_22.temp
- %TEMP%\key4.db_13.temp
- %TEMP%\places.sqlite_16.temp
- %TEMP%\places.sqlite_17.temp
- %TEMP%\places.sqlite_18.temp
- %TEMP%\webappsstore.sqlite_20.temp
- %TEMP%\places.sqlite_17.temp-shm
- %TEMP%\places.sqlite_18.temp-shm
- %TEMP%\webappsstore.sqlite_20.temp-shm
- %TEMP%\cookies.sqlite_15.temp-shm
- %TEMP%\places.sqlite_16.temp-shm
- %TEMP%\ogmrqgqx\firefox_dnyauhh1_default_release_history.json
- %TEMP%\ogmrqgqx\firefox_dnyauhh1_default_release_bookmark.json
- %TEMP%\ogmrqgqx\firefox_dnyauhh1_default_release_key4_db
- %TEMP%\ogmrqgqx\ogmrqgqx.zip
Удаляет файлы, которые сам же создал
- %TEMP%\local state_0.temp
- %TEMP%\session storage_8.temp\manifest-000001
- %TEMP%\session storage_8.temp\000004.log
- %TEMP%\session storage_8.temp\current
- %TEMP%\session storage_8.temp\current.bak
- %TEMP%\session storage_8.temp\log
- %TEMP%\session storage_8.temp\manifest-000005
- %TEMP%\web data_6.temp
- %TEMP%\web data_10.temp
- %TEMP%\cookies_2.temp
- %TEMP%\secure preferences_9.temp
- %TEMP%\history_4.temp
- %TEMP%\history_5.temp
- %TEMP%\login data_1.temp
- %TEMP%\local storage\leveldb_7.temp\manifest-000001
- %TEMP%\local storage\leveldb_7.temp\000004.log
- %TEMP%\local storage\leveldb_7.temp\current
- %TEMP%\local storage\leveldb_7.temp\current.bak
- %TEMP%\local storage\leveldb_7.temp\log
- %TEMP%\local storage\leveldb_7.temp\manifest-000005
- %TEMP%\places.sqlite_17.temp-shm
- %TEMP%\places.sqlite_17.temp
- %TEMP%\places.sqlite_18.temp-shm
- %TEMP%\places.sqlite_18.temp
- %TEMP%\webappsstore.sqlite_20.temp-shm
- %TEMP%\webappsstore.sqlite_20.temp
- %TEMP%\cookies.sqlite_15.temp-shm
- %TEMP%\cookies.sqlite_15.temp
- %TEMP%\extensions.json_22.temp
- %TEMP%\places.sqlite_16.temp-shm
- %TEMP%\places.sqlite_16.temp
- %TEMP%\ogmrqgqx\chrome_default_extension.json
- %TEMP%\ogmrqgqx\chrome_default_history.json
- %TEMP%\ogmrqgqx\firefox_dnyauhh1_default_release_bookmark.json
- %TEMP%\ogmrqgqx\firefox_dnyauhh1_default_release_history.json
- %TEMP%\ogmrqgqx\firefox_dnyauhh1_default_release_key4_db
- %TEMP%\ogmrqgqx\ogmrqgqx.zip
- %TEMP%\ogmrqgqx\system_info.json
Перемещает следующие файлы
- %TEMP%\session storage_8.temp\current.5 в %TEMP%\session storage_8.temp\current
- %TEMP%\local storage\leveldb_7.temp\current.5 в %TEMP%\local storage\leveldb_7.temp\current
Подменяет следующие файлы
- %TEMP%\login data_1.temp
- %TEMP%\secure preferences_9.temp
- %TEMP%\web data_6.temp
- %TEMP%\web data_10.temp
- %TEMP%\local state_0.temp
- %TEMP%\history_4.temp
- %TEMP%\history_5.temp
Сетевая активность
UDP
- DNS ASK ap###.ipify.org
- DNS ASK ap#.#pify.org
- DNS ASK ap#.#ropbox.com
Другое
Запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' os get Caption,Version,BuildNumber,OSArchitecture /value (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' computersystem get TotalPhysicalMemory (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' cpu get Name (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path Win32_VideoController get CurrentHorizontalResolution,CurrentVerticalResolution (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "chcp 65001 && cmdkey /list" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\cmdkey.exe' /list
