Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\sdszfo.docx
Modifies file system
Creates the following files
- %TEMP%\tmp275e.tmp
- %TEMP%\tmp2aa3.tmp
- %TEMP%\tmp2a92.tmp
- %TEMP%\tmp2a91.tmp
- %TEMP%\tmp2a90.tmp
- %TEMP%\tmp2a80.tmp
- %TEMP%\tmp2a7f.tmp
- %TEMP%\tmp2a6e.tmp
- %TEMP%\tmp2a6d.tmp
- %TEMP%\tmp2a6c.tmp
- %TEMP%\tmp2a5c.tmp
- %TEMP%\tmp2a5b.tmp
- %TEMP%\tmp2a5a.tmp
- %TEMP%\tmp2a49.tmp
- %TEMP%\tmp2a48.tmp
- %TEMP%\tmp2a37.tmp
- %TEMP%\tmp2a36.tmp
- %TEMP%\tmp2a26.tmp
- %TEMP%\tmp2a25.tmp
- %TEMP%\tmp2a14.tmp
- %TEMP%\tmp2a13.tmp
- %TEMP%\tmp2a03.tmp
- %TEMP%\tmp2a01.tmp
- %TEMP%\tmp2a02.tmp
- %TEMP%\tmp2aa4.tmp
- %TEMP%\tmp2ab5.tmp
- %TEMP%\tmp2ba5.tmp
- %TEMP%\tmp2b85.tmp
- %TEMP%\tmp2b84.tmp
- %TEMP%\tmp2b73.tmp
- %TEMP%\tmp2b72.tmp
- %TEMP%\tmp2b71.tmp
- %TEMP%\tmp2b61.tmp
- %TEMP%\tmp2b60.tmp
- %TEMP%\tmp2b3f.tmp
- %TEMP%\tmp2b2f.tmp
- %TEMP%\tmp2b2d.tmp
- %TEMP%\tmp2946.tmp
- %TEMP%\tmp2b1c.tmp
- %TEMP%\tmp2b1b.tmp
- %TEMP%\tmp2b1a.tmp
- %TEMP%\tmp2b0a.tmp
- %TEMP%\tmp2ada.tmp
- %TEMP%\tmp2ac9.tmp
- %TEMP%\tmp2ac8.tmp
- %TEMP%\tmp2ac7.tmp
- %TEMP%\tmp2ab7.tmp
- %TEMP%\tmp2ab6.tmp
- %TEMP%\tmp29f0.tmp
- %TEMP%\tmp29df.tmp
- %TEMP%\tmp29de.tmp
- %TEMP%\tmp28aa.tmp
- %TEMP%\tmp2899.tmp
- %TEMP%\tmp2888.tmp
- %TEMP%\tmp2868.tmp
- %TEMP%\tmp2867.tmp
- %TEMP%\tmp2857.tmp
- %TEMP%\tmp2856.tmp
- %TEMP%\tmp2845.tmp
- %TEMP%\tmp2844.tmp
- %TEMP%\tmp2833.tmp
- %TEMP%\tmp2823.tmp
- %TEMP%\tmp2822.tmp
- %TEMP%\tmp2821.tmp
- %TEMP%\tmp2810.tmp
- %TEMP%\tmp2800.tmp
- %TEMP%\tmp27ef.tmp
- %TEMP%\tmp27ee.tmp
- %TEMP%\tmp27ed.tmp
- %TEMP%\tmp27dc.tmp
- %TEMP%\tmp277e.tmp
- %TEMP%\tmp28cb.tmp
- %TEMP%\tmp28cc.tmp
- %TEMP%\tmp28ba.tmp
- %TEMP%\tmp28dc.tmp
- %TEMP%\tmp29ce.tmp
- %TEMP%\tmp28ed.tmp
- %TEMP%\tmp29bd.tmp
- %TEMP%\tmp29ad.tmp
- %TEMP%\tmp299c.tmp
- %TEMP%\tmp298b.tmp
- %TEMP%\tmp298a.tmp
- %TEMP%\tmp297a.tmp
- %TEMP%\tmp2969.tmp
- %TEMP%\tmp2959.tmp
- %TEMP%\tmp2958.tmp
- %TEMP%\tmp2b2e.tmp
- %TEMP%\tmp2bd5.tmp
- %TEMP%\tmp2945.tmp
- %TEMP%\tmp2934.tmp
- %TEMP%\tmp2924.tmp
- %TEMP%\tmp2923.tmp
- %TEMP%\tmp2922.tmp
- %TEMP%\tmp2911.tmp
- %TEMP%\tmp2910.tmp
- %TEMP%\tmp290f.tmp
- %TEMP%\tmp28ff.tmp
- %TEMP%\tmp28ee.tmp
- %TEMP%\tmp2947.tmp
- %TEMP%\tmp2bd6.tmp
Deletes the following files
- %TEMP%\tmp277e.tmp
- %TEMP%\tmp2a37.tmp
- %TEMP%\tmp2a49.tmp
- %TEMP%\tmp2a5b.tmp
- %TEMP%\tmp2a6c.tmp
- %TEMP%\tmp2a6e.tmp
- %TEMP%\tmp2a80.tmp
- %TEMP%\tmp2a91.tmp
- %TEMP%\tmp2aa3.tmp
- %TEMP%\tmp2ab5.tmp
- %TEMP%\tmp2a14.tmp
- %TEMP%\tmp2a26.tmp
- %TEMP%\tmp2ab7.tmp
- %TEMP%\tmp2b1a.tmp
- %TEMP%\tmp2b1c.tmp
- %TEMP%\tmp2b2e.tmp
- %TEMP%\tmp2b3f.tmp
- %TEMP%\tmp2b61.tmp
- %TEMP%\tmp2b72.tmp
- %TEMP%\tmp2b84.tmp
- %TEMP%\tmp2b85.tmp
- %TEMP%\tmp2ba5.tmp
- %TEMP%\tmp2ac8.tmp
- %TEMP%\tmp2ada.tmp
- %TEMP%\tmp2a03.tmp
- %TEMP%\tmp2a01.tmp
- %TEMP%\tmp29df.tmp
- %TEMP%\tmp27ef.tmp
- %TEMP%\tmp2810.tmp
- %TEMP%\tmp2822.tmp
- %TEMP%\tmp2833.tmp
- %TEMP%\tmp2845.tmp
- %TEMP%\tmp2857.tmp
- %TEMP%\tmp2868.tmp
- %TEMP%\tmp2899.tmp
- %TEMP%\tmp28ba.tmp
- %TEMP%\tmp28cc.tmp
- %TEMP%\tmp27ed.tmp
- %TEMP%\tmp28ed.tmp
- %TEMP%\tmp2910.tmp
- %TEMP%\tmp2922.tmp
- %TEMP%\tmp2924.tmp
- %TEMP%\tmp2945.tmp
- %TEMP%\tmp2947.tmp
- %TEMP%\tmp2959.tmp
- %TEMP%\tmp297a.tmp
- %TEMP%\tmp298b.tmp
- %TEMP%\tmp29ad.tmp
- %TEMP%\tmp29ce.tmp
- %TEMP%\tmp28ff.tmp
- %TEMP%\tmp2bd5.tmp
- %TEMP%\tmp2bd6.tmp
Network activity
Connects to
- '37.##.150.90':81
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://37.##.150.90:81/ via 37.##.150.90
UDP
- DNS ASK 0e####.grinchim.ru
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
