Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\emnaanpfr.vbs
- %TEMP%\pwpavotn\files_\cookies\opera.txt
- %TEMP%\pwpavotn\c5jmn.tmp
- %TEMP%\pwpavotn\fehs8.tmp
- %TEMP%\pwpavotn\c5jmn.tmp-shm
- %TEMP%\pwpavotn\_files\_cookies\mozilla_firefox.txt
- %TEMP%\pwpavotn\files_\cookies\mozilla_firefox.txt
- %TEMP%\pwpavotn\_files\_information.txt
- %TEMP%\ktwsetkiwpu.exe
- %TEMP%\pwpavotn\files_\screenshot.jpg
- %TEMP%\pwpavotn\files_\system_info.txt
- %TEMP%\pwpavotn\sojuafrzikot.zip
- %TEMP%\6aa3.tmp
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- %TEMP%\pwpavotn\_files\_cookies\opera.txt
- %TEMP%\pwpavotn\_files\_screen_desktop.jpeg
- %TEMP%\pwpavotn\l4mdzq.tmp
- %TEMP%\pwpavotn\hyhzt.tmp
- %TEMP%\bjfsldaokutx.exe
- %TEMP%\pwpavotn\p6ev.tmp
- %TEMP%\pwpavotn\t6utti.tmp
- %TEMP%\pwpavotn\ztxgy.tmp
- %TEMP%\pwpavotn\bqdkid.tmp
- %TEMP%\pwpavotn\jqntd.tmp
- %TEMP%\pwpavotn\il1d.tmp
- %TEMP%\pwpavotn\nrxl.tmp
- %TEMP%\pwpavotn\bhdn.tmp
- %TEMP%\pwpavotn\ztyb6t.tmp
- %TEMP%\pwpavotn\_files\_cookies\google_chrome.txt
- %TEMP%\pwpavotn\files_\cookies\google_chrome.txt
- %TEMP%\pwpavotn\_files\_allcookies_list.txt
- %TEMP%\pwpavotn\files_\cookies.txt
- %TEMP%\pwpavotn\xp1k.tmp
- %TEMP%\is-1pd9f.tmp\ktwsetkiwpu.tmp
Удаляет следующие файлы
- %TEMP%\pwpavotn\c5jmn.tmp-shm
Сетевая активность
TCP
Запросы HTTP GET
- http://ip##pi.com/json
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://su###nen.com/helka/trll.php
- http://eb#####adersoftware.com/ebook.exe
UDP
- DNS ASK ip###ger.org
- DNS ASK ot###pp04.top
- DNS ASK ip##pi.com
- DNS ASK 2n#.co
- DNS ASK su###nen.com
- DNS ASK eb#####adersoftware.com
- DNS ASK bi###cket.org
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\emnaanpfr.vbs"
- '%TEMP%\bjfsldaokutx.exe'
- '%TEMP%\ktwsetkiwpu.exe'
- '%TEMP%\is-1pd9f.tmp\ktwsetkiwpu.tmp' /SL5="$E0222,28982256,486912,%TEMP%\ktwsetkiwpu.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\emnaanpfr.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\bjfsldaokutx.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\ktwsetkiwpu.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\wiaonbd.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\fpdaqxh.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\emnaanpfr.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\bjfsldaokutx.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\ktwsetkiwpu.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\wiaonbd.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\fpdaqxh.exe"
