Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Searches for windows to
detect analytical utilities:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Modifies file system
Creates the following files
- %TEMP%\tmpd642.tmp
- %TEMP%\tmpd7c3.tmp
- %TEMP%\tmpd7c2.tmp
- %TEMP%\tmpd7c1.tmp
- %TEMP%\tmpd7b0.tmp
- %TEMP%\tmpd7af.tmp
- %TEMP%\tmpd7ae.tmp
- %TEMP%\tmpd7ad.tmp
- %TEMP%\tmpd7ac.tmp
- %TEMP%\tmpd7ab.tmp
- %TEMP%\tmpd79b.tmp
- %TEMP%\tmpd79a.tmp
- %TEMP%\tmpd799.tmp
- %TEMP%\tmpd798.tmp
- %TEMP%\tmpd797.tmp
- %TEMP%\tmpd796.tmp
- %TEMP%\tmpd785.tmp
- %TEMP%\tmpd784.tmp
- %TEMP%\tmpd783.tmp
- %TEMP%\tmpd782.tmp
- %TEMP%\tmpd781.tmp
- %TEMP%\tmpd770.tmp
- %TEMP%\tmpd76e.tmp
- %TEMP%\tmpd76f.tmp
- %TEMP%\tmpd7c4.tmp
- %TEMP%\tmpd7c5.tmp
- %TEMP%\tmpd838.tmp
- %TEMP%\tmpd828.tmp
- %TEMP%\tmpd817.tmp
- %TEMP%\tmpd816.tmp
- %TEMP%\tmpd815.tmp
- %TEMP%\tmpd814.tmp
- %TEMP%\tmpd804.tmp
- %TEMP%\tmpd803.tmp
- %TEMP%\tmpd802.tmp
- %TEMP%\tmpd801.tmp
- %TEMP%\tmpd7ef.tmp
- %TEMP%\tmpd721.tmp
- %TEMP%\tmpd7ee.tmp
- %TEMP%\tmpd7ed.tmp
- %TEMP%\tmpd7ec.tmp
- %TEMP%\tmpd7eb.tmp
- %TEMP%\tmpd7da.tmp
- %TEMP%\tmpd7d9.tmp
- %TEMP%\tmpd7d8.tmp
- %TEMP%\tmpd7d7.tmp
- %TEMP%\tmpd7d6.tmp
- %TEMP%\tmpd7c6.tmp
- %TEMP%\tmpd76d.tmp
- %TEMP%\tmpd76c.tmp
- %TEMP%\tmpd75c.tmp
- %TEMP%\tmpd6c3.tmp
- %TEMP%\tmpd6c2.tmp
- %TEMP%\tmpd6c1.tmp
- %TEMP%\tmpd6c0.tmp
- %TEMP%\tmpd6af.tmp
- %TEMP%\tmpd6ae.tmp
- %TEMP%\tmpd6ad.tmp
- %TEMP%\tmpd6ac.tmp
- %TEMP%\tmpd69c.tmp
- %TEMP%\tmpd69b.tmp
- %TEMP%\tmpd68a.tmp
- %TEMP%\tmpd689.tmp
- %TEMP%\tmpd688.tmp
- %TEMP%\tmpd687.tmp
- %TEMP%\tmpd677.tmp
- %TEMP%\tmpd676.tmp
- %TEMP%\tmpd675.tmp
- %TEMP%\tmpd674.tmp
- %TEMP%\tmpd663.tmp
- %TEMP%\tmpd643.tmp
- %TEMP%\tmpd6d5.tmp
- %TEMP%\tmpd6d6.tmp
- %TEMP%\tmpd6d4.tmp
- %TEMP%\tmpd6e6.tmp
- %TEMP%\tmpd75b.tmp
- %TEMP%\tmpd6e7.tmp
- %TEMP%\tmpd75a.tmp
- %TEMP%\tmpd73a.tmp
- %TEMP%\tmpd739.tmp
- %TEMP%\tmpd738.tmp
- %TEMP%\tmpd737.tmp
- %TEMP%\tmpd736.tmp
- %TEMP%\tmpd725.tmp
- %TEMP%\tmpd724.tmp
- %TEMP%\tmpd723.tmp
- %TEMP%\tmpd800.tmp
- %TEMP%\tmpd849.tmp
- %TEMP%\tmpd710.tmp
- %TEMP%\tmpd70f.tmp
- %TEMP%\tmpd70e.tmp
- %TEMP%\tmpd70d.tmp
- %TEMP%\tmpd6fd.tmp
- %TEMP%\tmpd6fc.tmp
- %TEMP%\tmpd6fb.tmp
- %TEMP%\tmpd6fa.tmp
- %TEMP%\tmpd6e9.tmp
- %TEMP%\tmpd6e8.tmp
- %TEMP%\tmpd722.tmp
- %TEMP%\tmpd84a.tmp
Deletes the following files
- %TEMP%\tmpd643.tmp
- %TEMP%\tmpd796.tmp
- %TEMP%\tmpd798.tmp
- %TEMP%\tmpd79a.tmp
- %TEMP%\tmpd7ab.tmp
- %TEMP%\tmpd7ad.tmp
- %TEMP%\tmpd7af.tmp
- %TEMP%\tmpd7c1.tmp
- %TEMP%\tmpd7c3.tmp
- %TEMP%\tmpd7c5.tmp
- %TEMP%\tmpd782.tmp
- %TEMP%\tmpd784.tmp
- %TEMP%\tmpd7d6.tmp
- %TEMP%\tmpd7ec.tmp
- %TEMP%\tmpd7ee.tmp
- %TEMP%\tmpd800.tmp
- %TEMP%\tmpd802.tmp
- %TEMP%\tmpd804.tmp
- %TEMP%\tmpd815.tmp
- %TEMP%\tmpd817.tmp
- %TEMP%\tmpd828.tmp
- %TEMP%\tmpd838.tmp
- %TEMP%\tmpd7d8.tmp
- %TEMP%\tmpd7da.tmp
- %TEMP%\tmpd770.tmp
- %TEMP%\tmpd76e.tmp
- %TEMP%\tmpd76c.tmp
- %TEMP%\tmpd676.tmp
- %TEMP%\tmpd687.tmp
- %TEMP%\tmpd689.tmp
- %TEMP%\tmpd69b.tmp
- %TEMP%\tmpd6ac.tmp
- %TEMP%\tmpd6ae.tmp
- %TEMP%\tmpd6c0.tmp
- %TEMP%\tmpd6c2.tmp
- %TEMP%\tmpd6d4.tmp
- %TEMP%\tmpd6d6.tmp
- %TEMP%\tmpd674.tmp
- %TEMP%\tmpd6e7.tmp
- %TEMP%\tmpd6fb.tmp
- %TEMP%\tmpd6fd.tmp
- %TEMP%\tmpd70e.tmp
- %TEMP%\tmpd710.tmp
- %TEMP%\tmpd722.tmp
- %TEMP%\tmpd724.tmp
- %TEMP%\tmpd736.tmp
- %TEMP%\tmpd738.tmp
- %TEMP%\tmpd73a.tmp
- %TEMP%\tmpd75b.tmp
- %TEMP%\tmpd6e9.tmp
- %TEMP%\tmpd849.tmp
- %TEMP%\tmpd84a.tmp
Network activity
Connects to
- '80.##.206.118':3214
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://80.##.206.118:3214/ via 80.##.206.118
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
