Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %APPDATA%\paperships\noabu.exe
- %TEMP%\tmp56a0.tmp
- %TEMP%\tmp5690.tmp
- %TEMP%\tmp568f.tmp
- %TEMP%\tmp567e.tmp
- %TEMP%\tmp567d.tmp
- %TEMP%\tmp566c.tmp
- %TEMP%\tmp566b.tmp
- %TEMP%\tmp565b.tmp
- %TEMP%\tmp565a.tmp
- %TEMP%\tmp5649.tmp
- %TEMP%\tmp56a1.tmp
- %TEMP%\tmp5639.tmp
- %TEMP%\tmp5627.tmp
- %TEMP%\tmp5626.tmp
- %TEMP%\tmp5615.tmp
- %TEMP%\tmp5614.tmp
- %TEMP%\tmp5604.tmp
- %TEMP%\tmp55f3.tmp
- %TEMP%\tmp55f2.tmp
- %TEMP%\tmp55e2.tmp
- %TEMP%\tmp55e1.tmp
- %TEMP%\tmp55d0.tmp
- %TEMP%\tmp5638.tmp
- %TEMP%\tmp572c.tmp
- %TEMP%\tmp57c4.tmp
- %TEMP%\tmp56c3.tmp
- %TEMP%\tmp57b4.tmp
- %TEMP%\tmp5794.tmp
- %TEMP%\tmp5783.tmp
- %TEMP%\tmp5772.tmp
- %TEMP%\tmp5771.tmp
- %TEMP%\tmp5761.tmp
- %TEMP%\tmp5760.tmp
- %TEMP%\tmp574f.tmp
- %TEMP%\tmp574e.tmp
- %TEMP%\tmp573e.tmp
- %TEMP%\tmp55cf.tmp
- %TEMP%\tmp573d.tmp
- %TEMP%\tmp572b.tmp
- %TEMP%\tmp571a.tmp
- %TEMP%\tmp570a.tmp
- %TEMP%\tmp5709.tmp
- %TEMP%\tmp56f8.tmp
- %TEMP%\tmp56f7.tmp
- %TEMP%\tmp56e7.tmp
- %TEMP%\tmp56d6.tmp
- %TEMP%\tmp56d5.tmp
- %TEMP%\tmp56c4.tmp
- %TEMP%\tmp56b2.tmp
- %TEMP%\tmp56b3.tmp
- %TEMP%\tmp55be.tmp
- %TEMP%\tmp549b.tmp
- %TEMP%\tmp5489.tmp
- %TEMP%\tmp5478.tmp
- %TEMP%\tmp5467.tmp
- %TEMP%\tmp5457.tmp
- %TEMP%\tmp5446.tmp
- %TEMP%\tmp5445.tmp
- %TEMP%\tmp5435.tmp
- %TEMP%\tmp5424.tmp
- %TEMP%\tmp5413.tmp
- %TEMP%\tmp53f3.tmp
- %TEMP%\tmp548a.tmp
- %TEMP%\tmp53f2.tmp
- %TEMP%\tmp53d1.tmp
- %TEMP%\tmp53c0.tmp
- %TEMP%\tmp53b0.tmp
- %TEMP%\tmp5303.tmp
- %TEMP%\tmp5302.tmp
- %TEMP%\tmp52f2.tmp
- %TEMP%\tmp5274.tmp
- %TEMP%\tmp5254.tmp
- %APPDATA%\paperships\geo.txt
- %APPDATA%\paperships\noabud.exe
- %TEMP%\tmp53e2.tmp
- %TEMP%\tmp5524.tmp
- %TEMP%\tmp55ad.tmp
- %TEMP%\tmp54ac.tmp
- %TEMP%\tmp559c.tmp
- %TEMP%\tmp559b.tmp
- %TEMP%\tmp558b.tmp
- %TEMP%\tmp557a.tmp
- %TEMP%\tmp5579.tmp
- %TEMP%\tmp5568.tmp
- %TEMP%\tmp5558.tmp
- %TEMP%\tmp5557.tmp
- %TEMP%\tmp5546.tmp
- %TEMP%\tmp5536.tmp
- %TEMP%\tmp55ae.tmp
- %TEMP%\tmp5535.tmp
- %TEMP%\tmp5513.tmp
- %TEMP%\tmp5503.tmp
- %TEMP%\tmp5502.tmp
- %TEMP%\tmp54f1.tmp
- %TEMP%\tmp54f0.tmp
- %TEMP%\tmp54e0.tmp
- %TEMP%\tmp54df.tmp
- %TEMP%\tmp54ce.tmp
- %TEMP%\tmp54bd.tmp
- %TEMP%\tmp54bc.tmp
- %TEMP%\tmp549a.tmp
- %TEMP%\tmp57d5.tmp
Deletes the following files
- %TEMP%\tmp5274.tmp
- %TEMP%\tmp5627.tmp
- %TEMP%\tmp5639.tmp
- %TEMP%\tmp565a.tmp
- %TEMP%\tmp566b.tmp
- %TEMP%\tmp567d.tmp
- %TEMP%\tmp568f.tmp
- %TEMP%\tmp56a0.tmp
- %TEMP%\tmp56b2.tmp
- %TEMP%\tmp56c3.tmp
- %TEMP%\tmp5604.tmp
- %TEMP%\tmp5615.tmp
- %TEMP%\tmp56d5.tmp
- %TEMP%\tmp570a.tmp
- %TEMP%\tmp572b.tmp
- %TEMP%\tmp573d.tmp
- %TEMP%\tmp574e.tmp
- %TEMP%\tmp5760.tmp
- %TEMP%\tmp5771.tmp
- %TEMP%\tmp5783.tmp
- %TEMP%\tmp5794.tmp
- %TEMP%\tmp57b4.tmp
- %TEMP%\tmp56e7.tmp
- %TEMP%\tmp56f8.tmp
- %TEMP%\tmp55f2.tmp
- %TEMP%\tmp55e1.tmp
- %TEMP%\tmp55cf.tmp
- %TEMP%\tmp53b0.tmp
- %TEMP%\tmp53d1.tmp
- %TEMP%\tmp53f2.tmp
- %TEMP%\tmp5413.tmp
- %TEMP%\tmp5435.tmp
- %TEMP%\tmp5446.tmp
- %TEMP%\tmp5467.tmp
- %TEMP%\tmp5489.tmp
- %TEMP%\tmp549a.tmp
- %TEMP%\tmp54ac.tmp
- %TEMP%\tmp5302.tmp
- %TEMP%\tmp54bd.tmp
- %TEMP%\tmp54f0.tmp
- %TEMP%\tmp5502.tmp
- %TEMP%\tmp5513.tmp
- %TEMP%\tmp5535.tmp
- %TEMP%\tmp5546.tmp
- %TEMP%\tmp5558.tmp
- %TEMP%\tmp5579.tmp
- %TEMP%\tmp558b.tmp
- %TEMP%\tmp559c.tmp
- %TEMP%\tmp55ae.tmp
- %TEMP%\tmp54df.tmp
- %TEMP%\tmp57c4.tmp
- %TEMP%\tmp57d5.tmp
Network activity
Connects to
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pa###ships.top':80
- 'ip##pi.com':80
- 'nn##ch.xyz':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://nn##ch.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pa###ships.top
- DNS ASK ip##pi.com
- DNS ASK nn##ch.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'AutoHotkey' WindowName: '<Full path to file>'
Creates and executes the following
- '%APPDATA%\paperships\noabu.exe'
