Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
Modifies file system
Creates the following files
- %TEMP%\tmp74d1.tmp
- %TEMP%\tmp7855.tmp
- %TEMP%\tmp7854.tmp
- %TEMP%\tmp7853.tmp
- %TEMP%\tmp7852.tmp
- %TEMP%\tmp7841.tmp
- %TEMP%\tmp7840.tmp
- %TEMP%\tmp783f.tmp
- %TEMP%\tmp783e.tmp
- %TEMP%\tmp783d.tmp
- %TEMP%\tmp783c.tmp
- %TEMP%\tmp782c.tmp
- %TEMP%\tmp782b.tmp
- %TEMP%\tmp782a.tmp
- %TEMP%\tmp7829.tmp
- %TEMP%\tmp7828.tmp
- %TEMP%\tmp7817.tmp
- %TEMP%\tmp7816.tmp
- %TEMP%\tmp7815.tmp
- %TEMP%\tmp7814.tmp
- %TEMP%\tmp7813.tmp
- %TEMP%\tmp7803.tmp
- %TEMP%\tmp7801.tmp
- %TEMP%\tmp7802.tmp
- %TEMP%\tmp7856.tmp
- %TEMP%\tmp7857.tmp
- %TEMP%\tmp78bb.tmp
- %TEMP%\tmp78aa.tmp
- %TEMP%\tmp78a9.tmp
- %TEMP%\tmp7899.tmp
- %TEMP%\tmp7898.tmp
- %TEMP%\tmp7897.tmp
- %TEMP%\tmp7896.tmp
- %TEMP%\tmp7895.tmp
- %TEMP%\tmp7894.tmp
- %TEMP%\tmp7883.tmp
- %TEMP%\tmp7881.tmp
- %TEMP%\tmp764c.tmp
- %TEMP%\tmp7880.tmp
- %TEMP%\tmp787f.tmp
- %TEMP%\tmp787e.tmp
- %TEMP%\tmp786e.tmp
- %TEMP%\tmp786d.tmp
- %TEMP%\tmp786c.tmp
- %TEMP%\tmp786b.tmp
- %TEMP%\tmp786a.tmp
- %TEMP%\tmp7869.tmp
- %TEMP%\tmp7858.tmp
- %TEMP%\tmp7800.tmp
- %TEMP%\tmp77ff.tmp
- %TEMP%\tmp77fe.tmp
- %TEMP%\tmp7562.tmp
- %TEMP%\tmp7551.tmp
- %TEMP%\tmp7550.tmp
- %TEMP%\tmp754f.tmp
- %TEMP%\tmp753f.tmp
- %TEMP%\tmp753e.tmp
- %TEMP%\tmp753d.tmp
- %TEMP%\tmp753c.tmp
- %TEMP%\tmp753b.tmp
- %TEMP%\tmp752a.tmp
- %TEMP%\tmp7529.tmp
- %TEMP%\tmp7528.tmp
- %TEMP%\tmp7527.tmp
- %TEMP%\tmp7517.tmp
- %TEMP%\tmp7516.tmp
- %TEMP%\tmp7515.tmp
- %TEMP%\tmp7514.tmp
- %TEMP%\tmp7503.tmp
- %TEMP%\tmp7502.tmp
- %TEMP%\tmp74e2.tmp
- %TEMP%\tmp7564.tmp
- %TEMP%\tmp7565.tmp
- %TEMP%\tmp7563.tmp
- %TEMP%\tmp7566.tmp
- %TEMP%\tmp77ed.tmp
- %TEMP%\tmp7577.tmp
- %TEMP%\tmp77ec.tmp
- %TEMP%\tmp77eb.tmp
- %TEMP%\tmp77ea.tmp
- %TEMP%\tmp77d9.tmp
- %TEMP%\tmp77d8.tmp
- %TEMP%\tmp77d7.tmp
- %TEMP%\tmp77b7.tmp
- %TEMP%\tmp77b6.tmp
- %TEMP%\tmp77b5.tmp
- %TEMP%\tmp7882.tmp
- %TEMP%\tmp78cc.tmp
- %TEMP%\tmp764b.tmp
- %TEMP%\tmp764a.tmp
- %TEMP%\tmp758e.tmp
- %TEMP%\tmp758d.tmp
- %TEMP%\tmp758c.tmp
- %TEMP%\tmp758b.tmp
- %TEMP%\tmp757b.tmp
- %TEMP%\tmp757a.tmp
- %TEMP%\tmp7579.tmp
- %TEMP%\tmp7578.tmp
- %TEMP%\tmp764d.tmp
- %TEMP%\tmp78cd.tmp
Deletes the following files
- %TEMP%\tmp74e2.tmp
- %TEMP%\tmp7828.tmp
- %TEMP%\tmp782a.tmp
- %TEMP%\tmp782c.tmp
- %TEMP%\tmp783d.tmp
- %TEMP%\tmp783f.tmp
- %TEMP%\tmp7841.tmp
- %TEMP%\tmp7853.tmp
- %TEMP%\tmp7855.tmp
- %TEMP%\tmp7857.tmp
- %TEMP%\tmp7814.tmp
- %TEMP%\tmp7816.tmp
- %TEMP%\tmp7869.tmp
- %TEMP%\tmp787e.tmp
- %TEMP%\tmp7880.tmp
- %TEMP%\tmp7882.tmp
- %TEMP%\tmp7894.tmp
- %TEMP%\tmp7896.tmp
- %TEMP%\tmp7898.tmp
- %TEMP%\tmp78a9.tmp
- %TEMP%\tmp78aa.tmp
- %TEMP%\tmp78bb.tmp
- %TEMP%\tmp786b.tmp
- %TEMP%\tmp786d.tmp
- %TEMP%\tmp7803.tmp
- %TEMP%\tmp7801.tmp
- %TEMP%\tmp77ff.tmp
- %TEMP%\tmp7515.tmp
- %TEMP%\tmp7517.tmp
- %TEMP%\tmp7528.tmp
- %TEMP%\tmp752a.tmp
- %TEMP%\tmp753c.tmp
- %TEMP%\tmp753e.tmp
- %TEMP%\tmp754f.tmp
- %TEMP%\tmp7551.tmp
- %TEMP%\tmp7563.tmp
- %TEMP%\tmp7565.tmp
- %TEMP%\tmp7503.tmp
- %TEMP%\tmp7577.tmp
- %TEMP%\tmp757b.tmp
- %TEMP%\tmp758c.tmp
- %TEMP%\tmp758e.tmp
- %TEMP%\tmp764b.tmp
- %TEMP%\tmp764d.tmp
- %TEMP%\tmp77b6.tmp
- %TEMP%\tmp77d7.tmp
- %TEMP%\tmp77d9.tmp
- %TEMP%\tmp77eb.tmp
- %TEMP%\tmp77ed.tmp
- %TEMP%\tmp7579.tmp
- %TEMP%\tmp78cc.tmp
- %TEMP%\tmp78cd.tmp
Network activity
Connects to
- '18#.#09.29.195':3214
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://18#.##9.29.195:3214/ via 18#.#09.29.195
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
