Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Modifies file system
Creates the following files
- %TEMP%\tmp7213.tmp
- %TEMP%\tmp7558.tmp
- %TEMP%\tmp7528.tmp
- %TEMP%\tmp7517.tmp
- %TEMP%\tmp7516.tmp
- %TEMP%\tmp7515.tmp
- %TEMP%\tmp7505.tmp
- %TEMP%\tmp7504.tmp
- %TEMP%\tmp7503.tmp
- %TEMP%\tmp7502.tmp
- %TEMP%\tmp7501.tmp
- %TEMP%\tmp74f0.tmp
- %TEMP%\tmp74df.tmp
- %TEMP%\tmp74de.tmp
- %TEMP%\tmp74dd.tmp
- %TEMP%\tmp74dc.tmp
- %TEMP%\tmp74cc.tmp
- %TEMP%\tmp74cb.tmp
- %TEMP%\tmp74ca.tmp
- %TEMP%\tmp74b9.tmp
- %TEMP%\tmp74b8.tmp
- %TEMP%\tmp74a8.tmp
- %TEMP%\tmp7559.tmp
- %TEMP%\tmp7569.tmp
- %TEMP%\tmp756a.tmp
- %TEMP%\tmp756b.tmp
- %TEMP%\tmp763c.tmp
- %TEMP%\tmp761c.tmp
- %TEMP%\tmp75fc.tmp
- %TEMP%\tmp75eb.tmp
- %TEMP%\tmp75ea.tmp
- %TEMP%\tmp75da.tmp
- %TEMP%\tmp75d9.tmp
- %TEMP%\tmp75d8.tmp
- %TEMP%\tmp75c7.tmp
- %TEMP%\tmp75c6.tmp
- %TEMP%\tmp75b5.tmp
- %TEMP%\tmp75b6.tmp
- %TEMP%\tmp75b4.tmp
- %TEMP%\tmp75a3.tmp
- %TEMP%\tmp75a2.tmp
- %TEMP%\tmp7591.tmp
- %TEMP%\tmp7590.tmp
- %TEMP%\tmp758f.tmp
- %TEMP%\tmp758e.tmp
- %TEMP%\tmp757e.tmp
- %TEMP%\tmp757d.tmp
- %TEMP%\tmp757c.tmp
- %TEMP%\tmp764d.tmp
- %TEMP%\tmp74a7.tmp
- %TEMP%\tmp74a6.tmp
- %TEMP%\tmp74a5.tmp
- %TEMP%\tmp7351.tmp
- %TEMP%\tmp7350.tmp
- %TEMP%\tmp734f.tmp
- %TEMP%\tmp733e.tmp
- %TEMP%\tmp733d.tmp
- %TEMP%\tmp732c.tmp
- %TEMP%\tmp732b.tmp
- %TEMP%\tmp732a.tmp
- %TEMP%\tmp731a.tmp
- %TEMP%\tmp7309.tmp
- %TEMP%\tmp7308.tmp
- %TEMP%\tmp72f8.tmp
- %TEMP%\tmp72f7.tmp
- %TEMP%\tmp72e6.tmp
- %TEMP%\tmp72d5.tmp
- %TEMP%\tmp72c5.tmp
- %TEMP%\tmp72b4.tmp
- %TEMP%\tmp72b3.tmp
- %TEMP%\tmp72b2.tmp
- %TEMP%\tmp72a2.tmp
- %TEMP%\tmp7224.tmp
- %TEMP%\tmp7361.tmp
- %TEMP%\tmp7362.tmp
- %TEMP%\tmp7363.tmp
- %TEMP%\tmp7374.tmp
- %TEMP%\tmp7483.tmp
- %TEMP%\tmp7482.tmp
- %TEMP%\tmp7472.tmp
- %TEMP%\tmp7471.tmp
- %TEMP%\tmp7422.tmp
- %TEMP%\tmp7421.tmp
- %TEMP%\tmp7410.tmp
- %TEMP%\tmp740f.tmp
- %TEMP%\tmp73ff.tmp
- %TEMP%\tmp73fe.tmp
- %TEMP%\tmp73ec.tmp
- %TEMP%\tmp73fd.tmp
- %TEMP%\tmp73eb.tmp
- %TEMP%\tmp73da.tmp
- %TEMP%\tmp73ca.tmp
- %TEMP%\tmp73c9.tmp
- %TEMP%\tmp73a9.tmp
- %TEMP%\tmp7398.tmp
- %TEMP%\tmp7397.tmp
- %TEMP%\tmp7386.tmp
- %TEMP%\tmp7385.tmp
- %TEMP%\tmp7375.tmp
- %TEMP%\tmp7494.tmp
- nul
Deletes the following files
- %TEMP%\tmp7224.tmp
- %TEMP%\tmp74dd.tmp
- %TEMP%\tmp74df.tmp
- %TEMP%\tmp7501.tmp
- %TEMP%\tmp7503.tmp
- %TEMP%\tmp7505.tmp
- %TEMP%\tmp7516.tmp
- %TEMP%\tmp7528.tmp
- %TEMP%\tmp7559.tmp
- %TEMP%\tmp756a.tmp
- %TEMP%\tmp74ca.tmp
- %TEMP%\tmp74cc.tmp
- %TEMP%\tmp757c.tmp
- %TEMP%\tmp7591.tmp
- %TEMP%\tmp75a3.tmp
- %TEMP%\tmp75b5.tmp
- %TEMP%\tmp75c6.tmp
- %TEMP%\tmp75d8.tmp
- %TEMP%\tmp75da.tmp
- %TEMP%\tmp75eb.tmp
- %TEMP%\tmp75fc.tmp
- %TEMP%\tmp761c.tmp
- %TEMP%\tmp757e.tmp
- %TEMP%\tmp758f.tmp
- %TEMP%\tmp74b8.tmp
- %TEMP%\tmp74a7.tmp
- %TEMP%\tmp74a5.tmp
- %TEMP%\tmp72b4.tmp
- %TEMP%\tmp72d5.tmp
- %TEMP%\tmp72f7.tmp
- %TEMP%\tmp7308.tmp
- %TEMP%\tmp731a.tmp
- %TEMP%\tmp732b.tmp
- %TEMP%\tmp733d.tmp
- %TEMP%\tmp734f.tmp
- %TEMP%\tmp7351.tmp
- %TEMP%\tmp7362.tmp
- %TEMP%\tmp72b2.tmp
- %TEMP%\tmp7374.tmp
- %TEMP%\tmp7397.tmp
- %TEMP%\tmp73a9.tmp
- %TEMP%\tmp73ca.tmp
- %TEMP%\tmp73eb.tmp
- %TEMP%\tmp73fd.tmp
- %TEMP%\tmp73ff.tmp
- %TEMP%\tmp7410.tmp
- %TEMP%\tmp7422.tmp
- %TEMP%\tmp7472.tmp
- %TEMP%\tmp7483.tmp
- %TEMP%\tmp7385.tmp
- %TEMP%\tmp763c.tmp
- %TEMP%\tmp764d.tmp
Network activity
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
HTTP POST requests
- http://94.###.91.245:35253/IRemotePanel via 94.##3.91.245
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
