Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\sdszfo.docx
Modifies file system
Creates the following files
- %TEMP%\tmp63a2.tmp
- %TEMP%\tmp66f7.tmp
- %TEMP%\tmp66e6.tmp
- %TEMP%\tmp66e5.tmp
- %TEMP%\tmp66d5.tmp
- %TEMP%\tmp66d4.tmp
- %TEMP%\tmp66d3.tmp
- %TEMP%\tmp66c2.tmp
- %TEMP%\tmp66c1.tmp
- %TEMP%\tmp66c0.tmp
- %TEMP%\tmp66b0.tmp
- %TEMP%\tmp66af.tmp
- %TEMP%\tmp66ae.tmp
- %TEMP%\tmp669d.tmp
- %TEMP%\tmp669c.tmp
- %TEMP%\tmp668b.tmp
- %TEMP%\tmp668a.tmp
- %TEMP%\tmp6689.tmp
- %TEMP%\tmp6679.tmp
- %TEMP%\tmp6678.tmp
- %TEMP%\tmp6677.tmp
- %TEMP%\tmp6666.tmp
- %TEMP%\tmp6664.tmp
- %TEMP%\tmp6665.tmp
- %TEMP%\tmp66f8.tmp
- %TEMP%\tmp66f9.tmp
- %TEMP%\tmp679b.tmp
- %TEMP%\tmp678b.tmp
- %TEMP%\tmp677a.tmp
- %TEMP%\tmp6779.tmp
- %TEMP%\tmp6778.tmp
- %TEMP%\tmp6768.tmp
- %TEMP%\tmp6767.tmp
- %TEMP%\tmp6756.tmp
- %TEMP%\tmp6755.tmp
- %TEMP%\tmp6754.tmp
- %TEMP%\tmp6742.tmp
- %TEMP%\tmp65d8.tmp
- %TEMP%\tmp6732.tmp
- %TEMP%\tmp6731.tmp
- %TEMP%\tmp6730.tmp
- %TEMP%\tmp671f.tmp
- %TEMP%\tmp671e.tmp
- %TEMP%\tmp671d.tmp
- %TEMP%\tmp670d.tmp
- %TEMP%\tmp670c.tmp
- %TEMP%\tmp670b.tmp
- %TEMP%\tmp66fa.tmp
- %TEMP%\tmp6654.tmp
- %TEMP%\tmp6653.tmp
- %TEMP%\tmp6652.tmp
- %TEMP%\tmp655b.tmp
- %TEMP%\tmp654b.tmp
- %TEMP%\tmp653a.tmp
- %TEMP%\tmp6529.tmp
- %TEMP%\tmp6519.tmp
- %TEMP%\tmp6518.tmp
- %TEMP%\tmp6517.tmp
- %TEMP%\tmp64d7.tmp
- %TEMP%\tmp64c7.tmp
- %TEMP%\tmp64c6.tmp
- %TEMP%\tmp64b5.tmp
- %TEMP%\tmp64a5.tmp
- %TEMP%\tmp64a4.tmp
- %TEMP%\tmp64a3.tmp
- %TEMP%\tmp6492.tmp
- %TEMP%\tmp6491.tmp
- %TEMP%\tmp6480.tmp
- %TEMP%\tmp647f.tmp
- %TEMP%\tmp645f.tmp
- %TEMP%\tmp63b3.tmp
- %TEMP%\tmp656d.tmp
- %TEMP%\tmp656e.tmp
- %TEMP%\tmp655c.tmp
- %TEMP%\tmp657e.tmp
- %TEMP%\tmp6641.tmp
- %TEMP%\tmp657f.tmp
- %TEMP%\tmp6630.tmp
- %TEMP%\tmp662f.tmp
- %TEMP%\tmp662e.tmp
- %TEMP%\tmp661e.tmp
- %TEMP%\tmp660d.tmp
- %TEMP%\tmp660c.tmp
- %TEMP%\tmp65fc.tmp
- %TEMP%\tmp65fb.tmp
- %TEMP%\tmp65ea.tmp
- %TEMP%\tmp6743.tmp
- %TEMP%\tmp67db.tmp
- %TEMP%\tmp65c8.tmp
- %TEMP%\tmp65c7.tmp
- %TEMP%\tmp65b6.tmp
- %TEMP%\tmp65b5.tmp
- %TEMP%\tmp65b4.tmp
- %TEMP%\tmp65a4.tmp
- %TEMP%\tmp65a3.tmp
- %TEMP%\tmp65a2.tmp
- %TEMP%\tmp6591.tmp
- %TEMP%\tmp6590.tmp
- %TEMP%\tmp65d9.tmp
- %TEMP%\tmp67dc.tmp
Deletes the following files
- %TEMP%\tmp63b3.tmp
- %TEMP%\tmp668b.tmp
- %TEMP%\tmp669d.tmp
- %TEMP%\tmp66af.tmp
- %TEMP%\tmp66c0.tmp
- %TEMP%\tmp66c2.tmp
- %TEMP%\tmp66d4.tmp
- %TEMP%\tmp66e5.tmp
- %TEMP%\tmp66f7.tmp
- %TEMP%\tmp66f9.tmp
- %TEMP%\tmp6678.tmp
- %TEMP%\tmp6689.tmp
- %TEMP%\tmp670b.tmp
- %TEMP%\tmp6730.tmp
- %TEMP%\tmp6732.tmp
- %TEMP%\tmp6743.tmp
- %TEMP%\tmp6755.tmp
- %TEMP%\tmp6767.tmp
- %TEMP%\tmp6778.tmp
- %TEMP%\tmp677a.tmp
- %TEMP%\tmp678b.tmp
- %TEMP%\tmp679b.tmp
- %TEMP%\tmp670d.tmp
- %TEMP%\tmp671e.tmp
- %TEMP%\tmp6666.tmp
- %TEMP%\tmp6664.tmp
- %TEMP%\tmp6653.tmp
- %TEMP%\tmp6491.tmp
- %TEMP%\tmp64a3.tmp
- %TEMP%\tmp64a5.tmp
- %TEMP%\tmp64c6.tmp
- %TEMP%\tmp64d7.tmp
- %TEMP%\tmp6518.tmp
- %TEMP%\tmp6529.tmp
- %TEMP%\tmp654b.tmp
- %TEMP%\tmp655c.tmp
- %TEMP%\tmp656e.tmp
- %TEMP%\tmp647f.tmp
- %TEMP%\tmp657f.tmp
- %TEMP%\tmp65a3.tmp
- %TEMP%\tmp65b4.tmp
- %TEMP%\tmp65b6.tmp
- %TEMP%\tmp65c8.tmp
- %TEMP%\tmp65d9.tmp
- %TEMP%\tmp65fb.tmp
- %TEMP%\tmp660c.tmp
- %TEMP%\tmp661e.tmp
- %TEMP%\tmp662f.tmp
- %TEMP%\tmp6641.tmp
- %TEMP%\tmp6591.tmp
- %TEMP%\tmp67db.tmp
- %TEMP%\tmp67dc.tmp
Deletes itself.
Network activity
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
HTTP POST requests
- http://ma###rem.xyz/IRemotePanel
UDP
- DNS ASK ma###rem.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Full path to file>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
