Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Modifies file system
Creates the following files
- %TEMP%\tmpec22.tmp
- %TEMP%\tmpef0a.tmp
- %TEMP%\tmpeef9.tmp
- %TEMP%\tmpeef8.tmp
- %TEMP%\tmpeef7.tmp
- %TEMP%\tmpeef6.tmp
- %TEMP%\tmpeee6.tmp
- %TEMP%\tmpeee5.tmp
- %TEMP%\tmpeee4.tmp
- %TEMP%\tmpeee3.tmp
- %TEMP%\tmpeed2.tmp
- %TEMP%\tmpeed1.tmp
- %TEMP%\tmpeed0.tmp
- %TEMP%\tmpeecf.tmp
- %TEMP%\tmpeece.tmp
- %TEMP%\tmpeebe.tmp
- %TEMP%\tmpeebd.tmp
- %TEMP%\tmpeebc.tmp
- %TEMP%\tmpeeab.tmp
- %TEMP%\tmpeeaa.tmp
- %TEMP%\tmpeea9.tmp
- %TEMP%\tmpee98.tmp
- %TEMP%\tmpee96.tmp
- %TEMP%\tmpee97.tmp
- %TEMP%\tmpef0b.tmp
- %TEMP%\tmpef0c.tmp
- %TEMP%\tmpef9f.tmp
- %TEMP%\tmpef7f.tmp
- %TEMP%\tmpef7e.tmp
- %TEMP%\tmpef6d.tmp
- %TEMP%\tmpef6c.tmp
- %TEMP%\tmpef6b.tmp
- %TEMP%\tmpef4b.tmp
- %TEMP%\tmpef4a.tmp
- %TEMP%\tmpef49.tmp
- %TEMP%\tmpef48.tmp
- %TEMP%\tmpef36.tmp
- %TEMP%\tmpee1a.tmp
- %TEMP%\tmpef35.tmp
- %TEMP%\tmpef34.tmp
- %TEMP%\tmpef33.tmp
- %TEMP%\tmpef23.tmp
- %TEMP%\tmpef22.tmp
- %TEMP%\tmpef21.tmp
- %TEMP%\tmpef20.tmp
- %TEMP%\tmpef0f.tmp
- %TEMP%\tmpef0e.tmp
- %TEMP%\tmpef0d.tmp
- %TEMP%\tmpee95.tmp
- %TEMP%\tmpee75.tmp
- %TEMP%\tmpee74.tmp
- %TEMP%\tmpedbc.tmp
- %TEMP%\tmpedbb.tmp
- %TEMP%\tmpedba.tmp
- %TEMP%\tmpedaa.tmp
- %TEMP%\tmpeda9.tmp
- %TEMP%\tmpeda8.tmp
- %TEMP%\tmped97.tmp
- %TEMP%\tmped86.tmp
- %TEMP%\tmped76.tmp
- %TEMP%\tmped75.tmp
- %TEMP%\tmped64.tmp
- %TEMP%\tmped63.tmp
- %TEMP%\tmped53.tmp
- %TEMP%\tmped52.tmp
- %TEMP%\tmped41.tmp
- %TEMP%\tmped40.tmp
- %TEMP%\tmped2f.tmp
- %TEMP%\tmped2e.tmp
- %TEMP%\tmped2d.tmp
- %TEMP%\tmpecde.tmp
- %TEMP%\tmpedce.tmp
- %TEMP%\tmpedcf.tmp
- %TEMP%\tmpedcd.tmp
- %TEMP%\tmpeddf.tmp
- %TEMP%\tmpee73.tmp
- %TEMP%\tmpede0.tmp
- %TEMP%\tmpee63.tmp
- %TEMP%\tmpee52.tmp
- %TEMP%\tmpee51.tmp
- %TEMP%\tmpee50.tmp
- %TEMP%\tmpee3f.tmp
- %TEMP%\tmpee3e.tmp
- %TEMP%\tmpee3d.tmp
- %TEMP%\tmpee2d.tmp
- %TEMP%\tmpee2c.tmp
- %TEMP%\tmpef37.tmp
- %TEMP%\tmpefde.tmp
- %TEMP%\tmpee19.tmp
- %TEMP%\tmpee09.tmp
- %TEMP%\tmpee08.tmp
- %TEMP%\tmpedf7.tmp
- %TEMP%\tmpedf6.tmp
- %TEMP%\tmpedf5.tmp
- %TEMP%\tmpedf4.tmp
- %TEMP%\tmpede3.tmp
- %TEMP%\tmpede2.tmp
- %TEMP%\tmpede1.tmp
- %TEMP%\tmpee2b.tmp
- %TEMP%\tmpefdf.tmp
Deletes the following files
- %TEMP%\tmpecde.tmp
- %TEMP%\tmpeebe.tmp
- %TEMP%\tmpeecf.tmp
- %TEMP%\tmpeed1.tmp
- %TEMP%\tmpeee3.tmp
- %TEMP%\tmpeee5.tmp
- %TEMP%\tmpeef6.tmp
- %TEMP%\tmpeef8.tmp
- %TEMP%\tmpef0a.tmp
- %TEMP%\tmpef0c.tmp
- %TEMP%\tmpeeaa.tmp
- %TEMP%\tmpeebc.tmp
- %TEMP%\tmpef0e.tmp
- %TEMP%\tmpef33.tmp
- %TEMP%\tmpef35.tmp
- %TEMP%\tmpef37.tmp
- %TEMP%\tmpef49.tmp
- %TEMP%\tmpef4b.tmp
- %TEMP%\tmpef6c.tmp
- %TEMP%\tmpef7e.tmp
- %TEMP%\tmpef7f.tmp
- %TEMP%\tmpef9f.tmp
- %TEMP%\tmpef20.tmp
- %TEMP%\tmpef22.tmp
- %TEMP%\tmpee98.tmp
- %TEMP%\tmpee96.tmp
- %TEMP%\tmpee75.tmp
- %TEMP%\tmped40.tmp
- %TEMP%\tmped52.tmp
- %TEMP%\tmped63.tmp
- %TEMP%\tmped75.tmp
- %TEMP%\tmped86.tmp
- %TEMP%\tmpeda8.tmp
- %TEMP%\tmpedaa.tmp
- %TEMP%\tmpedbb.tmp
- %TEMP%\tmpedcd.tmp
- %TEMP%\tmpedcf.tmp
- %TEMP%\tmped2e.tmp
- %TEMP%\tmpede0.tmp
- %TEMP%\tmpedf4.tmp
- %TEMP%\tmpedf6.tmp
- %TEMP%\tmpee08.tmp
- %TEMP%\tmpee19.tmp
- %TEMP%\tmpee2b.tmp
- %TEMP%\tmpee2d.tmp
- %TEMP%\tmpee3e.tmp
- %TEMP%\tmpee50.tmp
- %TEMP%\tmpee52.tmp
- %TEMP%\tmpee73.tmp
- %TEMP%\tmpede2.tmp
- %TEMP%\tmpefde.tmp
- %TEMP%\tmpefdf.tmp
Network activity
TCP
HTTP POST requests
- http://17#.###.91.208:35200/IRemotePanel via 17#.#57.91.208
UDP
- DNS ASK jc.###ndafffer.ru
- DNS ASK ap#.ip.sb
- DNS ASK ip##fo.io
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
