Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %APPDATA%\paperships\noabu.exe
- %TEMP%\tmpbeb5.tmp
- %TEMP%\tmpbeb4.tmp
- %TEMP%\tmpbeb3.tmp
- %TEMP%\tmpbea3.tmp
- %TEMP%\tmpbea2.tmp
- %TEMP%\tmpbea1.tmp
- %TEMP%\tmpbe90.tmp
- %TEMP%\tmpbe8f.tmp
- %TEMP%\tmpbe8e.tmp
- %TEMP%\tmpbe7d.tmp
- %TEMP%\tmpbec6.tmp
- %TEMP%\tmpbe7c.tmp
- %TEMP%\tmpbe6b.tmp
- %TEMP%\tmpbe6a.tmp
- %TEMP%\tmpbe69.tmp
- %TEMP%\tmpbe58.tmp
- %TEMP%\tmpbe57.tmp
- %TEMP%\tmpbe56.tmp
- %TEMP%\tmpbe46.tmp
- %TEMP%\tmpbe45.tmp
- %TEMP%\tmpbe44.tmp
- %TEMP%\tmpbe43.tmp
- %TEMP%\tmpbe7b.tmp
- %TEMP%\tmpbf31.tmp
- %TEMP%\tmpbfba.tmp
- %TEMP%\tmpbed8.tmp
- %TEMP%\tmpbf8a.tmp
- %TEMP%\tmpbf7a.tmp
- %TEMP%\tmpbf69.tmp
- %TEMP%\tmpbf68.tmp
- %TEMP%\tmpbf67.tmp
- %TEMP%\tmpbf57.tmp
- %TEMP%\tmpbf56.tmp
- %TEMP%\tmpbf55.tmp
- %TEMP%\tmpbf54.tmp
- %TEMP%\tmpbf43.tmp
- %TEMP%\tmpbe32.tmp
- %TEMP%\tmpbf42.tmp
- %TEMP%\tmpbf30.tmp
- %TEMP%\tmpbf10.tmp
- %TEMP%\tmpbf00.tmp
- %TEMP%\tmpbeff.tmp
- %TEMP%\tmpbefe.tmp
- %TEMP%\tmpbeed.tmp
- %TEMP%\tmpbeec.tmp
- %TEMP%\tmpbedb.tmp
- %TEMP%\tmpbeda.tmp
- %TEMP%\tmpbed9.tmp
- %TEMP%\tmpbec7.tmp
- %TEMP%\tmpbec8.tmp
- %TEMP%\tmpbe31.tmp
- %TEMP%\tmpbd5c.tmp
- %TEMP%\tmpbd49.tmp
- %TEMP%\tmpbd48.tmp
- %TEMP%\tmpbd38.tmp
- %TEMP%\tmpbd37.tmp
- %TEMP%\tmpbd26.tmp
- %TEMP%\tmpbd25.tmp
- %TEMP%\tmpbd14.tmp
- %TEMP%\tmpbd13.tmp
- %TEMP%\tmpbd03.tmp
- %TEMP%\tmpbcf2.tmp
- %TEMP%\tmpbd5a.tmp
- %TEMP%\tmpbcf1.tmp
- %TEMP%\tmpbcd0.tmp
- %TEMP%\tmpbcbf.tmp
- %TEMP%\tmpbcbe.tmp
- %TEMP%\tmpbcae.tmp
- %TEMP%\tmpbcad.tmp
- %TEMP%\tmpbc9c.tmp
- %TEMP%\tmpbc5d.tmp
- %TEMP%\tmpbc4c.tmp
- %APPDATA%\paperships\geo.txt
- %APPDATA%\paperships\noabud.exe
- %TEMP%\tmpbce1.tmp
- %TEMP%\tmpbdc5.tmp
- %TEMP%\tmpbe1f.tmp
- %TEMP%\tmpbd6c.tmp
- %TEMP%\tmpbe1e.tmp
- %TEMP%\tmpbe1d.tmp
- %TEMP%\tmpbe0d.tmp
- %TEMP%\tmpbe0c.tmp
- %TEMP%\tmpbdfb.tmp
- %TEMP%\tmpbdfa.tmp
- %TEMP%\tmpbdf9.tmp
- %TEMP%\tmpbde9.tmp
- %TEMP%\tmpbdd8.tmp
- %TEMP%\tmpbdd7.tmp
- %TEMP%\tmpbe30.tmp
- %TEMP%\tmpbdd6.tmp
- %TEMP%\tmpbdc4.tmp
- %TEMP%\tmpbdb4.tmp
- %TEMP%\tmpbdb3.tmp
- %TEMP%\tmpbda2.tmp
- %TEMP%\tmpbda1.tmp
- %TEMP%\tmpbd91.tmp
- %TEMP%\tmpbd90.tmp
- %TEMP%\tmpbd7f.tmp
- %TEMP%\tmpbd7e.tmp
- %TEMP%\tmpbd7d.tmp
- %TEMP%\tmpbd5b.tmp
- %TEMP%\tmpbfcb.tmp
Deletes the following files
- %TEMP%\tmpbc5d.tmp
- %TEMP%\tmpbe6b.tmp
- %TEMP%\tmpbe7c.tmp
- %TEMP%\tmpbe8e.tmp
- %TEMP%\tmpbe90.tmp
- %TEMP%\tmpbea2.tmp
- %TEMP%\tmpbeb3.tmp
- %TEMP%\tmpbeb5.tmp
- %TEMP%\tmpbec7.tmp
- %TEMP%\tmpbed8.tmp
- %TEMP%\tmpbe57.tmp
- %TEMP%\tmpbe69.tmp
- %TEMP%\tmpbeda.tmp
- %TEMP%\tmpbf00.tmp
- %TEMP%\tmpbf30.tmp
- %TEMP%\tmpbf42.tmp
- %TEMP%\tmpbf54.tmp
- %TEMP%\tmpbf56.tmp
- %TEMP%\tmpbf67.tmp
- %TEMP%\tmpbf69.tmp
- %TEMP%\tmpbf7a.tmp
- %TEMP%\tmpbf8a.tmp
- %TEMP%\tmpbeec.tmp
- %TEMP%\tmpbefe.tmp
- %TEMP%\tmpbe46.tmp
- %TEMP%\tmpbe44.tmp
- %TEMP%\tmpbe32.tmp
- %TEMP%\tmpbcbe.tmp
- %TEMP%\tmpbcd0.tmp
- %TEMP%\tmpbcf1.tmp
- %TEMP%\tmpbd03.tmp
- %TEMP%\tmpbd14.tmp
- %TEMP%\tmpbd26.tmp
- %TEMP%\tmpbd38.tmp
- %TEMP%\tmpbd49.tmp
- %TEMP%\tmpbd5b.tmp
- %TEMP%\tmpbd6c.tmp
- %TEMP%\tmpbcad.tmp
- %TEMP%\tmpbd7e.tmp
- %TEMP%\tmpbda1.tmp
- %TEMP%\tmpbdb3.tmp
- %TEMP%\tmpbdc4.tmp
- %TEMP%\tmpbdd6.tmp
- %TEMP%\tmpbdd8.tmp
- %TEMP%\tmpbdf9.tmp
- %TEMP%\tmpbdfb.tmp
- %TEMP%\tmpbe0d.tmp
- %TEMP%\tmpbe1e.tmp
- %TEMP%\tmpbe30.tmp
- %TEMP%\tmpbd90.tmp
- %TEMP%\tmpbfba.tmp
- %TEMP%\tmpbfcb.tmp
Network activity
Connects to
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pa###ships.top':80
- 'ip##pi.com':80
- 'nn##ch.xyz':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://nn##ch.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pa###ships.top
- DNS ASK ip##pi.com
- DNS ASK nn##ch.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'AutoHotkey' WindowName: '<Full path to file>'
Creates and executes the following
- '%APPDATA%\paperships\noabu.exe'
