Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Modifies file system
Creates the following files
- %TEMP%\tmp319a.tmp
- %TEMP%\tmp3627.tmp
- %TEMP%\tmp3617.tmp
- %TEMP%\tmp3616.tmp
- %TEMP%\tmp3605.tmp
- %TEMP%\tmp35f5.tmp
- %TEMP%\tmp35f4.tmp
- %TEMP%\tmp35e3.tmp
- %TEMP%\tmp35e2.tmp
- %TEMP%\tmp35e1.tmp
- %TEMP%\tmp35c1.tmp
- %TEMP%\tmp35c0.tmp
- %TEMP%\tmp35af.tmp
- %TEMP%\tmp35ae.tmp
- %TEMP%\tmp359e.tmp
- %TEMP%\tmp358d.tmp
- %TEMP%\tmp358c.tmp
- %TEMP%\tmp357b.tmp
- %TEMP%\tmp357a.tmp
- %TEMP%\tmp355a.tmp
- %TEMP%\tmp3559.tmp
- %TEMP%\tmp3549.tmp
- %TEMP%\tmp3537.tmp
- %TEMP%\tmp3538.tmp
- %TEMP%\tmp3628.tmp
- %TEMP%\tmp3639.tmp
- %TEMP%\tmp3787.tmp
- %TEMP%\tmp3776.tmp
- %TEMP%\tmp3766.tmp
- %TEMP%\tmp3765.tmp
- %TEMP%\tmp36d7.tmp
- %TEMP%\tmp36d6.tmp
- %TEMP%\tmp36c6.tmp
- %TEMP%\tmp36c5.tmp
- %TEMP%\tmp36b4.tmp
- %TEMP%\tmp36b3.tmp
- %TEMP%\tmp36a2.tmp
- %TEMP%\tmp346d.tmp
- %TEMP%\tmp3691.tmp
- %TEMP%\tmp3690.tmp
- %TEMP%\tmp367f.tmp
- %TEMP%\tmp366f.tmp
- %TEMP%\tmp366e.tmp
- %TEMP%\tmp365d.tmp
- %TEMP%\tmp365c.tmp
- %TEMP%\tmp364c.tmp
- %TEMP%\tmp364b.tmp
- %TEMP%\tmp363a.tmp
- %TEMP%\tmp3536.tmp
- %TEMP%\tmp3525.tmp
- %TEMP%\tmp3515.tmp
- %TEMP%\tmp33d0.tmp
- %TEMP%\tmp33c0.tmp
- %TEMP%\tmp33af.tmp
- %TEMP%\tmp33ae.tmp
- %TEMP%\tmp339e.tmp
- %TEMP%\tmp338d.tmp
- %TEMP%\tmp338c.tmp
- %TEMP%\tmp337b.tmp
- %TEMP%\tmp337a.tmp
- %TEMP%\tmp336a.tmp
- %TEMP%\tmp3359.tmp
- %TEMP%\tmp3358.tmp
- %TEMP%\tmp3348.tmp
- %TEMP%\tmp3337.tmp
- %TEMP%\tmp3336.tmp
- %TEMP%\tmp3325.tmp
- %TEMP%\tmp3315.tmp
- %TEMP%\tmp3314.tmp
- %TEMP%\tmp3303.tmp
- %TEMP%\tmp31ab.tmp
- %TEMP%\tmp33e2.tmp
- %TEMP%\tmp33e3.tmp
- %TEMP%\tmp33d1.tmp
- %TEMP%\tmp33f4.tmp
- %TEMP%\tmp3504.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp34f4.tmp
- %TEMP%\tmp34f3.tmp
- %TEMP%\tmp34e2.tmp
- %TEMP%\tmp34e1.tmp
- %TEMP%\tmp34d0.tmp
- %TEMP%\tmp34cf.tmp
- %TEMP%\tmp34bf.tmp
- %TEMP%\tmp34ae.tmp
- %TEMP%\tmp34ad.tmp
- %TEMP%\tmp36a3.tmp
- %TEMP%\tmp37c6.tmp
- %TEMP%\tmp346c.tmp
- %TEMP%\tmp345b.tmp
- %TEMP%\tmp344b.tmp
- %TEMP%\tmp343a.tmp
- %TEMP%\tmp3439.tmp
- %TEMP%\tmp3428.tmp
- %TEMP%\tmp3427.tmp
- %TEMP%\tmp3417.tmp
- %TEMP%\tmp3416.tmp
- %TEMP%\tmp3415.tmp
- %TEMP%\tmp349d.tmp
- %TEMP%\tmp37d7.tmp
Deletes the following files
- %TEMP%\tmp31ab.tmp
- %TEMP%\tmp358d.tmp
- %TEMP%\tmp35ae.tmp
- %TEMP%\tmp35c0.tmp
- %TEMP%\tmp35e1.tmp
- %TEMP%\tmp35e3.tmp
- %TEMP%\tmp35f5.tmp
- %TEMP%\tmp3616.tmp
- %TEMP%\tmp3627.tmp
- %TEMP%\tmp3639.tmp
- %TEMP%\tmp355a.tmp
- %TEMP%\tmp357b.tmp
- %TEMP%\tmp364b.tmp
- %TEMP%\tmp367f.tmp
- %TEMP%\tmp3691.tmp
- %TEMP%\tmp36a3.tmp
- %TEMP%\tmp36b4.tmp
- %TEMP%\tmp36c6.tmp
- %TEMP%\tmp36d7.tmp
- %TEMP%\tmp3766.tmp
- %TEMP%\tmp3776.tmp
- %TEMP%\tmp3787.tmp
- %TEMP%\tmp365c.tmp
- %TEMP%\tmp366e.tmp
- %TEMP%\tmp3549.tmp
- %TEMP%\tmp3537.tmp
- %TEMP%\tmp3525.tmp
- %TEMP%\tmp3325.tmp
- %TEMP%\tmp3337.tmp
- %TEMP%\tmp3358.tmp
- %TEMP%\tmp336a.tmp
- %TEMP%\tmp337b.tmp
- %TEMP%\tmp338d.tmp
- %TEMP%\tmp33ae.tmp
- %TEMP%\tmp33c0.tmp
- %TEMP%\tmp33d1.tmp
- %TEMP%\tmp33e3.tmp
- %TEMP%\tmp3314.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp3427.tmp
- %TEMP%\tmp3439.tmp
- %TEMP%\tmp344b.tmp
- %TEMP%\tmp346c.tmp
- %TEMP%\tmp349d.tmp
- %TEMP%\tmp34ae.tmp
- %TEMP%\tmp34cf.tmp
- %TEMP%\tmp34e1.tmp
- %TEMP%\tmp34f3.tmp
- %TEMP%\tmp3504.tmp
- %TEMP%\tmp3416.tmp
- %TEMP%\tmp37c6.tmp
- %TEMP%\tmp37d7.tmp
Network activity
Connects to
- '18#.#09.29.195':3214
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://18#.##9.29.195:3214/ via 18#.#09.29.195
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
