Technical Information
Malicious functions
Injects code into
the following user processes:
- addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Modifies file system
Creates the following files
- %TEMP%\addinprocess32.exe
- %TEMP%\tmp33a6.tmp
- %TEMP%\tmp33a5.tmp
- %TEMP%\tmp3394.tmp
- %TEMP%\tmp3393.tmp
- %TEMP%\tmp3392.tmp
- %TEMP%\tmp3391.tmp
- %TEMP%\tmp3381.tmp
- %TEMP%\tmp3380.tmp
- %TEMP%\tmp337f.tmp
- %TEMP%\tmp336e.tmp
- %TEMP%\tmp336d.tmp
- %TEMP%\tmp336c.tmp
- %TEMP%\tmp335b.tmp
- %TEMP%\tmp335a.tmp
- %TEMP%\tmp3359.tmp
- %TEMP%\tmp3358.tmp
- %TEMP%\tmp3348.tmp
- %TEMP%\tmp3347.tmp
- %TEMP%\tmp3346.tmp
- %TEMP%\tmp3335.tmp
- %TEMP%\tmp3334.tmp
- %TEMP%\tmp33a7.tmp
- %TEMP%\tmp33b7.tmp
- %TEMP%\tmp33b8.tmp
- %TEMP%\tmp33b9.tmp
- %TEMP%\tmp345c.tmp
- %TEMP%\tmp343c.tmp
- %TEMP%\tmp343b.tmp
- %TEMP%\tmp342a.tmp
- %TEMP%\tmp3429.tmp
- %TEMP%\tmp3428.tmp
- %TEMP%\tmp3417.tmp
- %TEMP%\tmp3416.tmp
- %TEMP%\tmp3415.tmp
- %TEMP%\tmp3405.tmp
- %TEMP%\tmp3403.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp3402.tmp
- %TEMP%\tmp33f1.tmp
- %TEMP%\tmp33f0.tmp
- %TEMP%\tmp33ef.tmp
- %TEMP%\tmp33df.tmp
- %TEMP%\tmp33de.tmp
- %TEMP%\tmp33cd.tmp
- %TEMP%\tmp33cc.tmp
- %TEMP%\tmp33cb.tmp
- %TEMP%\tmp33ca.tmp
- %TEMP%\tmp349b.tmp
- %TEMP%\tmp3333.tmp
- %TEMP%\tmp3323.tmp
- %TEMP%\tmp3322.tmp
- %TEMP%\tmp325a.tmp
- %TEMP%\tmp3259.tmp
- %TEMP%\tmp3258.tmp
- %TEMP%\tmp3247.tmp
- %TEMP%\tmp3246.tmp
- %TEMP%\tmp3245.tmp
- %TEMP%\tmp3235.tmp
- %TEMP%\tmp3234.tmp
- %TEMP%\tmp3223.tmp
- %TEMP%\tmp3222.tmp
- %TEMP%\tmp3212.tmp
- %TEMP%\tmp3211.tmp
- %TEMP%\tmp3210.tmp
- %TEMP%\tmp31ff.tmp
- %TEMP%\tmp31fe.tmp
- %TEMP%\tmp31ed.tmp
- %TEMP%\tmp31ec.tmp
- %TEMP%\tmp31eb.tmp
- %TEMP%\tmp31ea.tmp
- %TEMP%\tmp31ca.tmp
- %TEMP%\tmp310e.tmp
- %TEMP%\tmp326b.tmp
- %TEMP%\tmp326c.tmp
- %TEMP%\tmp326d.tmp
- %TEMP%\tmp327d.tmp
- %TEMP%\tmp3310.tmp
- %TEMP%\tmp330f.tmp
- %TEMP%\tmp330e.tmp
- %TEMP%\tmp32fd.tmp
- %TEMP%\tmp32fc.tmp
- %TEMP%\tmp32ec.tmp
- %TEMP%\tmp32eb.tmp
- %TEMP%\tmp32da.tmp
- %TEMP%\tmp32d9.tmp
- %TEMP%\tmp32c9.tmp
- %TEMP%\tmp32b7.tmp
- %TEMP%\tmp32c8.tmp
- %TEMP%\tmp32b6.tmp
- %TEMP%\tmp32b5.tmp
- %TEMP%\tmp32a4.tmp
- %TEMP%\tmp32a3.tmp
- %TEMP%\tmp32a2.tmp
- %TEMP%\tmp3292.tmp
- %TEMP%\tmp3291.tmp
- %TEMP%\tmp3290.tmp
- %TEMP%\tmp327f.tmp
- %TEMP%\tmp327e.tmp
- %TEMP%\tmp3321.tmp
- %TEMP%\tmp349c.tmp
Deletes the following files
- %TEMP%\tmp31ca.tmp
- %TEMP%\tmp335b.tmp
- %TEMP%\tmp336d.tmp
- %TEMP%\tmp337f.tmp
- %TEMP%\tmp3381.tmp
- %TEMP%\tmp3392.tmp
- %TEMP%\tmp3394.tmp
- %TEMP%\tmp33a6.tmp
- %TEMP%\tmp33b7.tmp
- %TEMP%\tmp33b9.tmp
- %TEMP%\tmp3348.tmp
- %TEMP%\tmp3359.tmp
- %TEMP%\tmp33cb.tmp
- %TEMP%\tmp33f0.tmp
- %TEMP%\tmp3402.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp3415.tmp
- %TEMP%\tmp3417.tmp
- %TEMP%\tmp3429.tmp
- %TEMP%\tmp343b.tmp
- %TEMP%\tmp343c.tmp
- %TEMP%\tmp345c.tmp
- %TEMP%\tmp33cd.tmp
- %TEMP%\tmp33df.tmp
- %TEMP%\tmp3346.tmp
- %TEMP%\tmp3334.tmp
- %TEMP%\tmp3323.tmp
- %TEMP%\tmp31ed.tmp
- %TEMP%\tmp31ff.tmp
- %TEMP%\tmp3211.tmp
- %TEMP%\tmp3222.tmp
- %TEMP%\tmp3234.tmp
- %TEMP%\tmp3245.tmp
- %TEMP%\tmp3247.tmp
- %TEMP%\tmp3259.tmp
- %TEMP%\tmp326b.tmp
- %TEMP%\tmp326d.tmp
- %TEMP%\tmp31eb.tmp
- %TEMP%\tmp327e.tmp
- %TEMP%\tmp3292.tmp
- %TEMP%\tmp32a3.tmp
- %TEMP%\tmp32b5.tmp
- %TEMP%\tmp32b7.tmp
- %TEMP%\tmp32c9.tmp
- %TEMP%\tmp32da.tmp
- %TEMP%\tmp32ec.tmp
- %TEMP%\tmp32fd.tmp
- %TEMP%\tmp330f.tmp
- %TEMP%\tmp3321.tmp
- %TEMP%\tmp3290.tmp
- %TEMP%\tmp349b.tmp
- %TEMP%\tmp349c.tmp
Network activity
TCP
HTTP POST requests
- http://uc###nas.xyz/
UDP
- DNS ASK uc###nas.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ip##fo.io
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Creates and executes the following
- '%TEMP%\addinprocess32.exe'
