Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Modifies file system
Creates the following files
- %TEMP%\tmpad3f.tmp
- %TEMP%\tmpb0a3.tmp
- %TEMP%\tmpb0a2.tmp
- %TEMP%\tmpb0a1.tmp
- %TEMP%\tmpb090.tmp
- %TEMP%\tmpb08f.tmp
- %TEMP%\tmpb08e.tmp
- %TEMP%\tmpb07d.tmp
- %TEMP%\tmpb06d.tmp
- %TEMP%\tmpb06c.tmp
- %TEMP%\tmpb05b.tmp
- %TEMP%\tmpb05a.tmp
- %TEMP%\tmpb04a.tmp
- %TEMP%\tmpb049.tmp
- %TEMP%\tmpb038.tmp
- %TEMP%\tmpb037.tmp
- %TEMP%\tmpb036.tmp
- %TEMP%\tmpb016.tmp
- %TEMP%\tmpb015.tmp
- %TEMP%\tmpb004.tmp
- %TEMP%\tmpb003.tmp
- %TEMP%\tmpaff3.tmp
- %TEMP%\tmpb0b3.tmp
- %TEMP%\tmpb0b4.tmp
- %TEMP%\tmpb0b5.tmp
- %TEMP%\tmpb0d5.tmp
- %TEMP%\tmpb252.tmp
- %TEMP%\tmpb1c5.tmp
- %TEMP%\tmpb1a5.tmp
- %TEMP%\tmpb156.tmp
- %TEMP%\tmpb145.tmp
- %TEMP%\tmpb144.tmp
- %TEMP%\tmpb133.tmp
- %TEMP%\tmpb132.tmp
- %TEMP%\tmpb131.tmp
- %TEMP%\tmpb121.tmp
- %TEMP%\tmpb11f.tmp
- %TEMP%\tmpb120.tmp
- %TEMP%\tmpb10e.tmp
- %TEMP%\tmpb10d.tmp
- %TEMP%\tmpb0fd.tmp
- %TEMP%\tmpb0fc.tmp
- %TEMP%\tmpb0fb.tmp
- %TEMP%\tmpb0ea.tmp
- %TEMP%\tmpb0e9.tmp
- %TEMP%\tmpb0e8.tmp
- %TEMP%\tmpb0d7.tmp
- %TEMP%\tmpb0d6.tmp
- %TEMP%\tmpb263.tmp
- %TEMP%\tmpaff2.tmp
- %TEMP%\tmpaff1.tmp
- %TEMP%\tmpafe0.tmp
- %TEMP%\tmpaebb.tmp
- %TEMP%\tmpaeba.tmp
- %TEMP%\tmpaea9.tmp
- %TEMP%\tmpae89.tmp
- %TEMP%\tmpae78.tmp
- %TEMP%\tmpae68.tmp
- %TEMP%\tmpae67.tmp
- %TEMP%\tmpae56.tmp
- %TEMP%\tmpae46.tmp
- %TEMP%\tmpae35.tmp
- %TEMP%\tmpae24.tmp
- %TEMP%\tmpae23.tmp
- %TEMP%\tmpae13.tmp
- %TEMP%\tmpae12.tmp
- %TEMP%\tmpae01.tmp
- %TEMP%\tmpae00.tmp
- %TEMP%\tmpadf0.tmp
- %TEMP%\tmpadef.tmp
- %TEMP%\tmpadde.tmp
- %TEMP%\tmpaddd.tmp
- %TEMP%\tmpad50.tmp
- %TEMP%\tmpaecb.tmp
- %TEMP%\tmpaedc.tmp
- %TEMP%\tmpaeed.tmp
- %TEMP%\tmpaefd.tmp
- %TEMP%\tmpafce.tmp
- %TEMP%\tmpafcd.tmp
- %TEMP%\tmpafbd.tmp
- %TEMP%\tmpafbc.tmp
- %TEMP%\tmpaf9c.tmp
- %TEMP%\tmpaf9b.tmp
- %TEMP%\tmpaf8a.tmp
- %TEMP%\tmpaf79.tmp
- %TEMP%\tmpaf78.tmp
- %TEMP%\tmpaf77.tmp
- %TEMP%\tmpaf66.tmp
- %TEMP%\tmpaf67.tmp
- %TEMP%\tmpaf55.tmp
- %TEMP%\tmpaf45.tmp
- %TEMP%\tmpaf44.tmp
- %TEMP%\tmpaf33.tmp
- %TEMP%\tmpaf32.tmp
- %TEMP%\tmpaf21.tmp
- %TEMP%\tmpaf20.tmp
- %TEMP%\tmpaf10.tmp
- %TEMP%\tmpaf0f.tmp
- %TEMP%\tmpaf0e.tmp
- %TEMP%\tmpafdf.tmp
- nul
Deletes the following files
- %TEMP%\tmpad50.tmp
- %TEMP%\tmpb038.tmp
- %TEMP%\tmpb04a.tmp
- %TEMP%\tmpb05b.tmp
- %TEMP%\tmpb06d.tmp
- %TEMP%\tmpb08e.tmp
- %TEMP%\tmpb090.tmp
- %TEMP%\tmpb0a2.tmp
- %TEMP%\tmpb0b3.tmp
- %TEMP%\tmpb0b5.tmp
- %TEMP%\tmpb015.tmp
- %TEMP%\tmpb036.tmp
- %TEMP%\tmpb0d6.tmp
- %TEMP%\tmpb0fc.tmp
- %TEMP%\tmpb10d.tmp
- %TEMP%\tmpb11f.tmp
- %TEMP%\tmpb121.tmp
- %TEMP%\tmpb132.tmp
- %TEMP%\tmpb144.tmp
- %TEMP%\tmpb156.tmp
- %TEMP%\tmpb1a5.tmp
- %TEMP%\tmpb1c5.tmp
- %TEMP%\tmpb0e8.tmp
- %TEMP%\tmpb0ea.tmp
- %TEMP%\tmpb003.tmp
- %TEMP%\tmpaff2.tmp
- %TEMP%\tmpafe0.tmp
- %TEMP%\tmpadf0.tmp
- %TEMP%\tmpae01.tmp
- %TEMP%\tmpae13.tmp
- %TEMP%\tmpae24.tmp
- %TEMP%\tmpae46.tmp
- %TEMP%\tmpae67.tmp
- %TEMP%\tmpae78.tmp
- %TEMP%\tmpaea9.tmp
- %TEMP%\tmpaebb.tmp
- %TEMP%\tmpaedc.tmp
- %TEMP%\tmpadde.tmp
- %TEMP%\tmpaefd.tmp
- %TEMP%\tmpaf20.tmp
- %TEMP%\tmpaf32.tmp
- %TEMP%\tmpaf44.tmp
- %TEMP%\tmpaf55.tmp
- %TEMP%\tmpaf67.tmp
- %TEMP%\tmpaf78.tmp
- %TEMP%\tmpaf8a.tmp
- %TEMP%\tmpaf9c.tmp
- %TEMP%\tmpafbd.tmp
- %TEMP%\tmpafce.tmp
- %TEMP%\tmpaf0f.tmp
- %TEMP%\tmpb252.tmp
- %TEMP%\tmpb263.tmp
Network activity
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
HTTP POST requests
- http://ci###ewan.xyz/IRemotePanel
UDP
- DNS ASK ci###ewan.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
