Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Searches for windows to
detect analytical utilities:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Modifies file system
Creates the following files
- %TEMP%\tmp5f7d.tmp
- %TEMP%\tmp67c2.tmp
- %TEMP%\tmp67c1.tmp
- %TEMP%\tmp67b0.tmp
- %TEMP%\tmp67af.tmp
- %TEMP%\tmp679f.tmp
- %TEMP%\tmp679e.tmp
- %TEMP%\tmp679d.tmp
- %TEMP%\tmp678c.tmp
- %TEMP%\tmp677b.tmp
- %TEMP%\tmp677a.tmp
- %TEMP%\tmp6779.tmp
- %TEMP%\tmp6769.tmp
- %TEMP%\tmp669d.tmp
- %TEMP%\tmp669c.tmp
- %TEMP%\tmp660f.tmp
- %TEMP%\tmp660e.tmp
- %TEMP%\tmp65fd.tmp
- %TEMP%\tmp65fc.tmp
- %TEMP%\tmp6417.tmp
- %TEMP%\tmp6416.tmp
- %TEMP%\tmp6406.tmp
- %TEMP%\tmp6404.tmp
- %TEMP%\tmp6405.tmp
- %TEMP%\tmp67f2.tmp
- %TEMP%\tmp6802.tmp
- %TEMP%\tmp69cd.tmp
- %TEMP%\tmp6920.tmp
- %TEMP%\tmp6893.tmp
- %TEMP%\tmp6892.tmp
- %TEMP%\tmp6881.tmp
- %TEMP%\tmp6880.tmp
- %TEMP%\tmp687f.tmp
- %TEMP%\tmp687e.tmp
- %TEMP%\tmp685e.tmp
- %TEMP%\tmp684e.tmp
- %TEMP%\tmp684c.tmp
- %TEMP%\tmp6175.tmp
- %TEMP%\tmp683b.tmp
- %TEMP%\tmp683a.tmp
- %TEMP%\tmp6829.tmp
- %TEMP%\tmp6828.tmp
- %TEMP%\tmp6827.tmp
- %TEMP%\tmp6817.tmp
- %TEMP%\tmp6816.tmp
- %TEMP%\tmp6815.tmp
- %TEMP%\tmp6804.tmp
- %TEMP%\tmp6803.tmp
- %TEMP%\tmp63f3.tmp
- %TEMP%\tmp62ab.tmp
- %TEMP%\tmp626b.tmp
- %TEMP%\tmp60c9.tmp
- %TEMP%\tmp60c8.tmp
- %TEMP%\tmp60b8.tmp
- %TEMP%\tmp60b7.tmp
- %TEMP%\tmp60a6.tmp
- %TEMP%\tmp60a5.tmp
- %TEMP%\tmp6094.tmp
- %TEMP%\tmp6093.tmp
- %TEMP%\tmp6083.tmp
- %TEMP%\tmp6072.tmp
- %TEMP%\tmp6062.tmp
- %TEMP%\tmp6061.tmp
- %TEMP%\tmp6060.tmp
- %TEMP%\tmp604f.tmp
- %TEMP%\tmp603e.tmp
- %TEMP%\tmp603d.tmp
- %TEMP%\tmp602d.tmp
- %TEMP%\tmp602c.tmp
- %TEMP%\tmp602b.tmp
- %TEMP%\tmp5f9d.tmp
- %TEMP%\tmp60db.tmp
- %TEMP%\tmp60dc.tmp
- %TEMP%\tmp60da.tmp
- %TEMP%\tmp60ec.tmp
- %TEMP%\tmp625b.tmp
- %TEMP%\tmp60ed.tmp
- %TEMP%\tmp625a.tmp
- %TEMP%\tmp6249.tmp
- %TEMP%\tmp6248.tmp
- %TEMP%\tmp6237.tmp
- %TEMP%\tmp6236.tmp
- %TEMP%\tmp61e7.tmp
- %TEMP%\tmp61d7.tmp
- %TEMP%\tmp61d6.tmp
- %TEMP%\tmp61c5.tmp
- %TEMP%\tmp684d.tmp
- %TEMP%\tmp69fd.tmp
- %TEMP%\tmp6174.tmp
- %TEMP%\tmp6144.tmp
- %TEMP%\tmp6134.tmp
- %TEMP%\tmp6133.tmp
- %TEMP%\tmp6122.tmp
- %TEMP%\tmp6121.tmp
- %TEMP%\tmp6111.tmp
- %TEMP%\tmp6110.tmp
- %TEMP%\tmp60ff.tmp
- %TEMP%\tmp60fe.tmp
- %TEMP%\tmp61c4.tmp
- %TEMP%\tmp6bd2.tmp
Deletes the following files
- %TEMP%\tmp5f9d.tmp
- %TEMP%\tmp660f.tmp
- %TEMP%\tmp669d.tmp
- %TEMP%\tmp6779.tmp
- %TEMP%\tmp677b.tmp
- %TEMP%\tmp679d.tmp
- %TEMP%\tmp679f.tmp
- %TEMP%\tmp67b0.tmp
- %TEMP%\tmp67c2.tmp
- %TEMP%\tmp6802.tmp
- %TEMP%\tmp6417.tmp
- %TEMP%\tmp65fd.tmp
- %TEMP%\tmp6804.tmp
- %TEMP%\tmp6829.tmp
- %TEMP%\tmp683b.tmp
- %TEMP%\tmp684d.tmp
- %TEMP%\tmp685e.tmp
- %TEMP%\tmp687f.tmp
- %TEMP%\tmp6881.tmp
- %TEMP%\tmp6893.tmp
- %TEMP%\tmp6920.tmp
- %TEMP%\tmp69cd.tmp
- %TEMP%\tmp6816.tmp
- %TEMP%\tmp6827.tmp
- %TEMP%\tmp6406.tmp
- %TEMP%\tmp6404.tmp
- %TEMP%\tmp62ab.tmp
- %TEMP%\tmp603d.tmp
- %TEMP%\tmp604f.tmp
- %TEMP%\tmp6061.tmp
- %TEMP%\tmp6072.tmp
- %TEMP%\tmp6093.tmp
- %TEMP%\tmp60a5.tmp
- %TEMP%\tmp60b7.tmp
- %TEMP%\tmp60c8.tmp
- %TEMP%\tmp60da.tmp
- %TEMP%\tmp60dc.tmp
- %TEMP%\tmp602c.tmp
- %TEMP%\tmp60ed.tmp
- %TEMP%\tmp6111.tmp
- %TEMP%\tmp6122.tmp
- %TEMP%\tmp6134.tmp
- %TEMP%\tmp6174.tmp
- %TEMP%\tmp61c4.tmp
- %TEMP%\tmp61d6.tmp
- %TEMP%\tmp61e7.tmp
- %TEMP%\tmp6237.tmp
- %TEMP%\tmp6249.tmp
- %TEMP%\tmp625b.tmp
- %TEMP%\tmp60ff.tmp
- %TEMP%\tmp69fd.tmp
- %TEMP%\tmp6bd2.tmp
Network activity
Connects to
- '80.##.206.118':81
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://80.##.206.118:81/ via 80.##.206.118
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
