Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Modifies file system
Creates the following files
- %TEMP%\tmp39c5.tmp
- %TEMP%\tmp3c8d.tmp
- %TEMP%\tmp3c8c.tmp
- %TEMP%\tmp3c7c.tmp
- %TEMP%\tmp3c7b.tmp
- %TEMP%\tmp3c7a.tmp
- %TEMP%\tmp3c69.tmp
- %TEMP%\tmp3c68.tmp
- %TEMP%\tmp3c67.tmp
- %TEMP%\tmp3c66.tmp
- %TEMP%\tmp3c56.tmp
- %TEMP%\tmp3c55.tmp
- %TEMP%\tmp3c54.tmp
- %TEMP%\tmp3c43.tmp
- %TEMP%\tmp3c42.tmp
- %TEMP%\tmp3c31.tmp
- %TEMP%\tmp3c30.tmp
- %TEMP%\tmp3c20.tmp
- %TEMP%\tmp3c1f.tmp
- %TEMP%\tmp3c0e.tmp
- %TEMP%\tmp3c0d.tmp
- %TEMP%\tmp3bfd.tmp
- %TEMP%\tmp3bfb.tmp
- %TEMP%\tmp3bfc.tmp
- %TEMP%\tmp3c8e.tmp
- %TEMP%\tmp3c9f.tmp
- %TEMP%\tmp3d32.tmp
- %TEMP%\tmp3d21.tmp
- %TEMP%\tmp3d11.tmp
- %TEMP%\tmp3d10.tmp
- %TEMP%\tmp3cff.tmp
- %TEMP%\tmp3cfe.tmp
- %TEMP%\tmp3ced.tmp
- %TEMP%\tmp3cec.tmp
- %TEMP%\tmp3ceb.tmp
- %TEMP%\tmp3cea.tmp
- %TEMP%\tmp3cd9.tmp
- %TEMP%\tmp3b7e.tmp
- %TEMP%\tmp3cd8.tmp
- %TEMP%\tmp3cc7.tmp
- %TEMP%\tmp3cc6.tmp
- %TEMP%\tmp3cc5.tmp
- %TEMP%\tmp3cb5.tmp
- %TEMP%\tmp3cb4.tmp
- %TEMP%\tmp3cb3.tmp
- %TEMP%\tmp3cb2.tmp
- %TEMP%\tmp3ca1.tmp
- %TEMP%\tmp3ca0.tmp
- %TEMP%\tmp3bfa.tmp
- %TEMP%\tmp3be9.tmp
- %TEMP%\tmp3be8.tmp
- %TEMP%\tmp3af2.tmp
- %TEMP%\tmp3ae1.tmp
- %TEMP%\tmp3ae0.tmp
- %TEMP%\tmp3acf.tmp
- %TEMP%\tmp3ace.tmp
- %TEMP%\tmp3abe.tmp
- %TEMP%\tmp3abd.tmp
- %TEMP%\tmp3a7d.tmp
- %TEMP%\tmp3a7c.tmp
- %TEMP%\tmp3a7b.tmp
- %TEMP%\tmp3a6b.tmp
- %TEMP%\tmp3a6a.tmp
- %TEMP%\tmp3a69.tmp
- %TEMP%\tmp3a58.tmp
- %TEMP%\tmp3a48.tmp
- %TEMP%\tmp3a47.tmp
- %TEMP%\tmp3a36.tmp
- %TEMP%\tmp3a35.tmp
- %TEMP%\tmp3a34.tmp
- %TEMP%\tmp39c6.tmp
- %TEMP%\tmp3b03.tmp
- %TEMP%\tmp3b04.tmp
- %TEMP%\tmp3af3.tmp
- %TEMP%\tmp3b15.tmp
- %TEMP%\tmp3bd7.tmp
- %TEMP%\tmp3b25.tmp
- %TEMP%\tmp3bc7.tmp
- %TEMP%\tmp3bc6.tmp
- %TEMP%\tmp3bc5.tmp
- %TEMP%\tmp3bb4.tmp
- %TEMP%\tmp3bb3.tmp
- %TEMP%\tmp3ba3.tmp
- %TEMP%\tmp3ba2.tmp
- %TEMP%\tmp3b91.tmp
- %TEMP%\tmp3b90.tmp
- %TEMP%\tmp3cda.tmp
- %TEMP%\tmp3d42.tmp
- %TEMP%\tmp3b6e.tmp
- %TEMP%\tmp3b6d.tmp
- %TEMP%\tmp3b6c.tmp
- %TEMP%\tmp3b5b.tmp
- %TEMP%\tmp3b5a.tmp
- %TEMP%\tmp3b4a.tmp
- %TEMP%\tmp3b49.tmp
- %TEMP%\tmp3b48.tmp
- %TEMP%\tmp3b37.tmp
- %TEMP%\tmp3b26.tmp
- %TEMP%\tmp3b7f.tmp
- %TEMP%\tmp3d53.tmp
Deletes the following files
- %TEMP%\tmp39c6.tmp
- %TEMP%\tmp3c31.tmp
- %TEMP%\tmp3c43.tmp
- %TEMP%\tmp3c55.tmp
- %TEMP%\tmp3c66.tmp
- %TEMP%\tmp3c68.tmp
- %TEMP%\tmp3c7a.tmp
- %TEMP%\tmp3c7c.tmp
- %TEMP%\tmp3c8d.tmp
- %TEMP%\tmp3c9f.tmp
- %TEMP%\tmp3c0e.tmp
- %TEMP%\tmp3c20.tmp
- %TEMP%\tmp3ca1.tmp
- %TEMP%\tmp3cc6.tmp
- %TEMP%\tmp3cd8.tmp
- %TEMP%\tmp3cda.tmp
- %TEMP%\tmp3ceb.tmp
- %TEMP%\tmp3ced.tmp
- %TEMP%\tmp3cff.tmp
- %TEMP%\tmp3d11.tmp
- %TEMP%\tmp3d21.tmp
- %TEMP%\tmp3d32.tmp
- %TEMP%\tmp3cb3.tmp
- %TEMP%\tmp3cb5.tmp
- %TEMP%\tmp3bfd.tmp
- %TEMP%\tmp3bfb.tmp
- %TEMP%\tmp3be9.tmp
- %TEMP%\tmp3a47.tmp
- %TEMP%\tmp3a58.tmp
- %TEMP%\tmp3a6a.tmp
- %TEMP%\tmp3a7b.tmp
- %TEMP%\tmp3a7d.tmp
- %TEMP%\tmp3abe.tmp
- %TEMP%\tmp3acf.tmp
- %TEMP%\tmp3ae1.tmp
- %TEMP%\tmp3af3.tmp
- %TEMP%\tmp3b04.tmp
- %TEMP%\tmp3a35.tmp
- %TEMP%\tmp3b25.tmp
- %TEMP%\tmp3b49.tmp
- %TEMP%\tmp3b5a.tmp
- %TEMP%\tmp3b6c.tmp
- %TEMP%\tmp3b6e.tmp
- %TEMP%\tmp3b7f.tmp
- %TEMP%\tmp3b91.tmp
- %TEMP%\tmp3ba3.tmp
- %TEMP%\tmp3bb4.tmp
- %TEMP%\tmp3bc6.tmp
- %TEMP%\tmp3bd7.tmp
- %TEMP%\tmp3b37.tmp
- %TEMP%\tmp3d42.tmp
- %TEMP%\tmp3d53.tmp
Network activity
Connects to
- '87.##1.71.13':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://87.##1.71.13/
UDP
- DNS ASK te##.#usaemai.ru
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
