Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Searches for windows to
detect analytical utilities:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Modifies file system
Creates the following files
- %TEMP%\tmp8507.tmp
- %TEMP%\tmp86b7.tmp
- %TEMP%\tmp86b6.tmp
- %TEMP%\tmp86b5.tmp
- %TEMP%\tmp86b4.tmp
- %TEMP%\tmp86b3.tmp
- %TEMP%\tmp86a2.tmp
- %TEMP%\tmp86a1.tmp
- %TEMP%\tmp86a0.tmp
- %TEMP%\tmp869f.tmp
- %TEMP%\tmp869e.tmp
- %TEMP%\tmp869d.tmp
- %TEMP%\tmp868c.tmp
- %TEMP%\tmp868b.tmp
- %TEMP%\tmp868a.tmp
- %TEMP%\tmp8689.tmp
- %TEMP%\tmp8688.tmp
- %TEMP%\tmp8678.tmp
- %TEMP%\tmp8677.tmp
- %TEMP%\tmp8676.tmp
- %TEMP%\tmp8675.tmp
- %TEMP%\tmp8674.tmp
- %TEMP%\tmp8662.tmp
- %TEMP%\tmp8673.tmp
- %TEMP%\tmp86b8.tmp
- %TEMP%\tmp86c8.tmp
- %TEMP%\tmp874b.tmp
- %TEMP%\tmp871c.tmp
- %TEMP%\tmp870b.tmp
- %TEMP%\tmp870a.tmp
- %TEMP%\tmp8709.tmp
- %TEMP%\tmp86f8.tmp
- %TEMP%\tmp86f7.tmp
- %TEMP%\tmp86f6.tmp
- %TEMP%\tmp86f5.tmp
- %TEMP%\tmp86f4.tmp
- %TEMP%\tmp86f2.tmp
- %TEMP%\tmp8624.tmp
- %TEMP%\tmp86e2.tmp
- %TEMP%\tmp86e1.tmp
- %TEMP%\tmp86e0.tmp
- %TEMP%\tmp86df.tmp
- %TEMP%\tmp86de.tmp
- %TEMP%\tmp86dd.tmp
- %TEMP%\tmp86cc.tmp
- %TEMP%\tmp86cb.tmp
- %TEMP%\tmp86ca.tmp
- %TEMP%\tmp86c9.tmp
- %TEMP%\tmp8661.tmp
- %TEMP%\tmp8660.tmp
- %TEMP%\tmp865f.tmp
- %TEMP%\tmp85d6.tmp
- %TEMP%\tmp85c5.tmp
- %TEMP%\tmp85c4.tmp
- %TEMP%\tmp85b4.tmp
- %TEMP%\tmp85b3.tmp
- %TEMP%\tmp85b2.tmp
- %TEMP%\tmp85b1.tmp
- %TEMP%\tmp85a0.tmp
- %TEMP%\tmp859f.tmp
- %TEMP%\tmp858f.tmp
- %TEMP%\tmp858e.tmp
- %TEMP%\tmp858d.tmp
- %TEMP%\tmp857c.tmp
- %TEMP%\tmp857b.tmp
- %TEMP%\tmp856a.tmp
- %TEMP%\tmp8569.tmp
- %TEMP%\tmp8559.tmp
- %TEMP%\tmp8558.tmp
- %TEMP%\tmp8557.tmp
- %TEMP%\tmp8517.tmp
- %TEMP%\tmp85d8.tmp
- %TEMP%\tmp85d9.tmp
- %TEMP%\tmp85d7.tmp
- %TEMP%\tmp85ea.tmp
- %TEMP%\tmp865e.tmp
- %TEMP%\tmp85eb.tmp
- %TEMP%\tmp864e.tmp
- %TEMP%\tmp864d.tmp
- %TEMP%\tmp864c.tmp
- %TEMP%\tmp863b.tmp
- %TEMP%\tmp863a.tmp
- %TEMP%\tmp8639.tmp
- %TEMP%\tmp8638.tmp
- %TEMP%\tmp8637.tmp
- %TEMP%\tmp8626.tmp
- %TEMP%\tmp86f3.tmp
- %TEMP%\tmp875c.tmp
- %TEMP%\tmp8614.tmp
- %TEMP%\tmp8613.tmp
- %TEMP%\tmp8612.tmp
- %TEMP%\tmp8601.tmp
- %TEMP%\tmp8600.tmp
- %TEMP%\tmp85ff.tmp
- %TEMP%\tmp85fe.tmp
- %TEMP%\tmp85ee.tmp
- %TEMP%\tmp85ed.tmp
- %TEMP%\tmp85ec.tmp
- %TEMP%\tmp8625.tmp
- %TEMP%\tmp876d.tmp
Deletes the following files
- %TEMP%\tmp8517.tmp
- %TEMP%\tmp8689.tmp
- %TEMP%\tmp868b.tmp
- %TEMP%\tmp869d.tmp
- %TEMP%\tmp869f.tmp
- %TEMP%\tmp86a1.tmp
- %TEMP%\tmp86b3.tmp
- %TEMP%\tmp86b5.tmp
- %TEMP%\tmp86b7.tmp
- %TEMP%\tmp86c8.tmp
- %TEMP%\tmp8676.tmp
- %TEMP%\tmp8678.tmp
- %TEMP%\tmp86ca.tmp
- %TEMP%\tmp86e0.tmp
- %TEMP%\tmp86e2.tmp
- %TEMP%\tmp86f3.tmp
- %TEMP%\tmp86f5.tmp
- %TEMP%\tmp86f7.tmp
- %TEMP%\tmp8709.tmp
- %TEMP%\tmp870b.tmp
- %TEMP%\tmp871c.tmp
- %TEMP%\tmp874b.tmp
- %TEMP%\tmp86cc.tmp
- %TEMP%\tmp86de.tmp
- %TEMP%\tmp8674.tmp
- %TEMP%\tmp8662.tmp
- %TEMP%\tmp8660.tmp
- %TEMP%\tmp8569.tmp
- %TEMP%\tmp857b.tmp
- %TEMP%\tmp858d.tmp
- %TEMP%\tmp858f.tmp
- %TEMP%\tmp85a0.tmp
- %TEMP%\tmp85b2.tmp
- %TEMP%\tmp85b4.tmp
- %TEMP%\tmp85c5.tmp
- %TEMP%\tmp85d7.tmp
- %TEMP%\tmp85d9.tmp
- %TEMP%\tmp8558.tmp
- %TEMP%\tmp85eb.tmp
- %TEMP%\tmp85fe.tmp
- %TEMP%\tmp8600.tmp
- %TEMP%\tmp8612.tmp
- %TEMP%\tmp8614.tmp
- %TEMP%\tmp8625.tmp
- %TEMP%\tmp8637.tmp
- %TEMP%\tmp8639.tmp
- %TEMP%\tmp863b.tmp
- %TEMP%\tmp864d.tmp
- %TEMP%\tmp865e.tmp
- %TEMP%\tmp85ed.tmp
- %TEMP%\tmp875c.tmp
- %TEMP%\tmp876d.tmp
Network activity
TCP
HTTP POST requests
- http://80.##.206.118:81/ via 80.##.206.118
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
