Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %APPDATA%\paperships\noabu.exe
- %TEMP%\tmpe799.tmp
- %TEMP%\tmpe798.tmp
- %TEMP%\tmpe787.tmp
- %TEMP%\tmpe786.tmp
- %TEMP%\tmpe785.tmp
- %TEMP%\tmpe784.tmp
- %TEMP%\tmpe783.tmp
- %TEMP%\tmpe772.tmp
- %TEMP%\tmpe771.tmp
- %TEMP%\tmpe770.tmp
- %TEMP%\tmpe79a.tmp
- %TEMP%\tmpe76f.tmp
- %TEMP%\tmpe75e.tmp
- %TEMP%\tmpe75d.tmp
- %TEMP%\tmpe75c.tmp
- %TEMP%\tmpe75b.tmp
- %TEMP%\tmpe74a.tmp
- %TEMP%\tmpe749.tmp
- %TEMP%\tmpe748.tmp
- %TEMP%\tmpe747.tmp
- %TEMP%\tmpe746.tmp
- %TEMP%\tmpe745.tmp
- %TEMP%\tmpe76e.tmp
- %TEMP%\tmpe7e6.tmp
- %TEMP%\tmpe840.tmp
- %TEMP%\tmpe7ac.tmp
- %TEMP%\tmpe820.tmp
- %TEMP%\tmpe80f.tmp
- %TEMP%\tmpe80e.tmp
- %TEMP%\tmpe80d.tmp
- %TEMP%\tmpe80c.tmp
- %TEMP%\tmpe7fc.tmp
- %TEMP%\tmpe7fb.tmp
- %TEMP%\tmpe7fa.tmp
- %TEMP%\tmpe7f9.tmp
- %TEMP%\tmpe7e8.tmp
- %TEMP%\tmpe735.tmp
- %TEMP%\tmpe7e7.tmp
- %TEMP%\tmpe7e5.tmp
- %TEMP%\tmpe7d4.tmp
- %TEMP%\tmpe7d3.tmp
- %TEMP%\tmpe7d2.tmp
- %TEMP%\tmpe7d1.tmp
- %TEMP%\tmpe7d0.tmp
- %TEMP%\tmpe7c0.tmp
- %TEMP%\tmpe7bf.tmp
- %TEMP%\tmpe7be.tmp
- %TEMP%\tmpe7ad.tmp
- %TEMP%\tmpe79b.tmp
- %TEMP%\tmpe7ab.tmp
- %TEMP%\tmpe734.tmp
- %TEMP%\tmpe6bc.tmp
- %TEMP%\tmpe6a9.tmp
- %TEMP%\tmpe6a8.tmp
- %TEMP%\tmpe688.tmp
- %TEMP%\tmpe687.tmp
- %TEMP%\tmpe686.tmp
- %TEMP%\tmpe676.tmp
- %TEMP%\tmpe675.tmp
- %TEMP%\tmpe674.tmp
- %TEMP%\tmpe673.tmp
- %TEMP%\tmpe662.tmp
- %TEMP%\tmpe6aa.tmp
- %TEMP%\tmpe661.tmp
- %TEMP%\tmpe64f.tmp
- %TEMP%\tmpe64e.tmp
- %TEMP%\tmpe63e.tmp
- %TEMP%\tmpe63d.tmp
- %TEMP%\tmpe63c.tmp
- %TEMP%\tmpe63b.tmp
- %TEMP%\tmpe60b.tmp
- %TEMP%\tmpe5fa.tmp
- %APPDATA%\paperships\geo.txt
- %APPDATA%\paperships\noabud.exe
- %TEMP%\tmpe650.tmp
- %TEMP%\tmpe6f7.tmp
- %TEMP%\tmpe732.tmp
- %TEMP%\tmpe6bd.tmp
- %TEMP%\tmpe731.tmp
- %TEMP%\tmpe720.tmp
- %TEMP%\tmpe71f.tmp
- %TEMP%\tmpe71e.tmp
- %TEMP%\tmpe71d.tmp
- %TEMP%\tmpe70c.tmp
- %TEMP%\tmpe70b.tmp
- %TEMP%\tmpe70a.tmp
- %TEMP%\tmpe709.tmp
- %TEMP%\tmpe6f9.tmp
- %TEMP%\tmpe733.tmp
- %TEMP%\tmpe6f8.tmp
- %TEMP%\tmpe6e6.tmp
- %TEMP%\tmpe6e5.tmp
- %TEMP%\tmpe6e4.tmp
- %TEMP%\tmpe6e3.tmp
- %TEMP%\tmpe6e2.tmp
- %TEMP%\tmpe6d2.tmp
- %TEMP%\tmpe6d1.tmp
- %TEMP%\tmpe6d0.tmp
- %TEMP%\tmpe6cf.tmp
- %TEMP%\tmpe6be.tmp
- %TEMP%\tmpe6ab.tmp
- %TEMP%\tmpe851.tmp
Deletes the following files
- %TEMP%\tmpe60b.tmp
- %TEMP%\tmpe75e.tmp
- %TEMP%\tmpe76f.tmp
- %TEMP%\tmpe771.tmp
- %TEMP%\tmpe783.tmp
- %TEMP%\tmpe785.tmp
- %TEMP%\tmpe787.tmp
- %TEMP%\tmpe799.tmp
- %TEMP%\tmpe79b.tmp
- %TEMP%\tmpe7ac.tmp
- %TEMP%\tmpe74a.tmp
- %TEMP%\tmpe75c.tmp
- %TEMP%\tmpe7be.tmp
- %TEMP%\tmpe7d3.tmp
- %TEMP%\tmpe7e5.tmp
- %TEMP%\tmpe7e7.tmp
- %TEMP%\tmpe7f9.tmp
- %TEMP%\tmpe7fb.tmp
- %TEMP%\tmpe80c.tmp
- %TEMP%\tmpe80e.tmp
- %TEMP%\tmpe80f.tmp
- %TEMP%\tmpe820.tmp
- %TEMP%\tmpe7c0.tmp
- %TEMP%\tmpe7d1.tmp
- %TEMP%\tmpe748.tmp
- %TEMP%\tmpe746.tmp
- %TEMP%\tmpe735.tmp
- %TEMP%\tmpe63e.tmp
- %TEMP%\tmpe64f.tmp
- %TEMP%\tmpe661.tmp
- %TEMP%\tmpe673.tmp
- %TEMP%\tmpe675.tmp
- %TEMP%\tmpe686.tmp
- %TEMP%\tmpe688.tmp
- %TEMP%\tmpe6a9.tmp
- %TEMP%\tmpe6ab.tmp
- %TEMP%\tmpe6bd.tmp
- %TEMP%\tmpe63c.tmp
- %TEMP%\tmpe6cf.tmp
- %TEMP%\tmpe6e2.tmp
- %TEMP%\tmpe6e4.tmp
- %TEMP%\tmpe6e6.tmp
- %TEMP%\tmpe6f8.tmp
- %TEMP%\tmpe709.tmp
- %TEMP%\tmpe70b.tmp
- %TEMP%\tmpe71d.tmp
- %TEMP%\tmpe71f.tmp
- %TEMP%\tmpe731.tmp
- %TEMP%\tmpe733.tmp
- %TEMP%\tmpe6d1.tmp
- %TEMP%\tmpe840.tmp
- %TEMP%\tmpe851.tmp
Network activity
Connects to
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pa###ships.top':80
- 'ip##pi.com':80
- 'nn##ch.xyz':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://nn##ch.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pa###ships.top
- DNS ASK ip##pi.com
- DNS ASK nn##ch.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'AutoHotkey' WindowName: '<Full path to file>'
Creates and executes the following
- '%APPDATA%\paperships\noabu.exe'
