Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %APPDATA%\paperships\noabu.exe
- %TEMP%\tmp9a35.tmp
- %TEMP%\tmp9a34.tmp
- %TEMP%\tmp9a33.tmp
- %TEMP%\tmp9a22.tmp
- %TEMP%\tmp9a21.tmp
- %TEMP%\tmp9a20.tmp
- %TEMP%\tmp9a1f.tmp
- %TEMP%\tmp9a0f.tmp
- %TEMP%\tmp9a0e.tmp
- %TEMP%\tmp9a0d.tmp
- %TEMP%\tmp9a55.tmp
- %TEMP%\tmp99fc.tmp
- %TEMP%\tmp99db.tmp
- %TEMP%\tmp99da.tmp
- %TEMP%\tmp99d9.tmp
- %TEMP%\tmp99d8.tmp
- %TEMP%\tmp99a8.tmp
- %TEMP%\tmp9997.tmp
- %TEMP%\tmp9996.tmp
- %TEMP%\tmp9995.tmp
- %TEMP%\tmp9994.tmp
- %TEMP%\tmp9993.tmp
- %TEMP%\tmp99fb.tmp
- %TEMP%\tmp9a92.tmp
- %TEMP%\tmp9b2a.tmp
- %TEMP%\tmp9a68.tmp
- %TEMP%\tmp9b0a.tmp
- %TEMP%\tmp9ada.tmp
- %TEMP%\tmp9aca.tmp
- %TEMP%\tmp9ac9.tmp
- %TEMP%\tmp9ab8.tmp
- %TEMP%\tmp9ab7.tmp
- %TEMP%\tmp9ab6.tmp
- %TEMP%\tmp9ab5.tmp
- %TEMP%\tmp9aa4.tmp
- %TEMP%\tmp9aa3.tmp
- %TEMP%\tmp9983.tmp
- %TEMP%\tmp9aa2.tmp
- %TEMP%\tmp9a91.tmp
- %TEMP%\tmp9a90.tmp
- %TEMP%\tmp9a8f.tmp
- %TEMP%\tmp9a7e.tmp
- %TEMP%\tmp9a7d.tmp
- %TEMP%\tmp9a7c.tmp
- %TEMP%\tmp9a6c.tmp
- %TEMP%\tmp9a6b.tmp
- %TEMP%\tmp9a6a.tmp
- %TEMP%\tmp9a69.tmp
- %TEMP%\tmp9a56.tmp
- %TEMP%\tmp9a57.tmp
- %TEMP%\tmp9982.tmp
- %TEMP%\tmp98bc.tmp
- %TEMP%\tmp98b9.tmp
- %TEMP%\tmp98a9.tmp
- %TEMP%\tmp98a8.tmp
- %TEMP%\tmp98a7.tmp
- %TEMP%\tmp9896.tmp
- %TEMP%\tmp9895.tmp
- %TEMP%\tmp9884.tmp
- %TEMP%\tmp9874.tmp
- %TEMP%\tmp9863.tmp
- %TEMP%\tmp9843.tmp
- %TEMP%\tmp98ba.tmp
- %TEMP%\tmp9842.tmp
- %TEMP%\tmp9811.tmp
- %TEMP%\tmp9810.tmp
- %TEMP%\tmp9800.tmp
- %TEMP%\tmp97ff.tmp
- %TEMP%\tmp97fe.tmp
- %TEMP%\tmp97ed.tmp
- %TEMP%\tmp96b4.tmp
- %TEMP%\tmp9694.tmp
- %APPDATA%\paperships\geo.txt
- %APPDATA%\paperships\noabud.exe
- %TEMP%\tmp9841.tmp
- %TEMP%\tmp9926.tmp
- %TEMP%\tmp9961.tmp
- %TEMP%\tmp98cd.tmp
- %TEMP%\tmp9960.tmp
- %TEMP%\tmp995f.tmp
- %TEMP%\tmp995e.tmp
- %TEMP%\tmp995d.tmp
- %TEMP%\tmp994c.tmp
- %TEMP%\tmp994b.tmp
- %TEMP%\tmp994a.tmp
- %TEMP%\tmp9939.tmp
- %TEMP%\tmp9938.tmp
- %TEMP%\tmp9937.tmp
- %TEMP%\tmp9971.tmp
- %TEMP%\tmp9936.tmp
- %TEMP%\tmp9906.tmp
- %TEMP%\tmp9905.tmp
- %TEMP%\tmp98f4.tmp
- %TEMP%\tmp98f3.tmp
- %TEMP%\tmp98e2.tmp
- %TEMP%\tmp98e1.tmp
- %TEMP%\tmp98e0.tmp
- %TEMP%\tmp98df.tmp
- %TEMP%\tmp98cf.tmp
- %TEMP%\tmp98ce.tmp
- %TEMP%\tmp98bb.tmp
- %TEMP%\tmp9b5a.tmp
Deletes the following files
- %TEMP%\tmp96b4.tmp
- %TEMP%\tmp99db.tmp
- %TEMP%\tmp99fc.tmp
- %TEMP%\tmp9a0e.tmp
- %TEMP%\tmp9a1f.tmp
- %TEMP%\tmp9a21.tmp
- %TEMP%\tmp9a33.tmp
- %TEMP%\tmp9a35.tmp
- %TEMP%\tmp9a56.tmp
- %TEMP%\tmp9a68.tmp
- %TEMP%\tmp99a8.tmp
- %TEMP%\tmp99d9.tmp
- %TEMP%\tmp9a6a.tmp
- %TEMP%\tmp9a8f.tmp
- %TEMP%\tmp9a91.tmp
- %TEMP%\tmp9aa2.tmp
- %TEMP%\tmp9aa4.tmp
- %TEMP%\tmp9ab6.tmp
- %TEMP%\tmp9ab8.tmp
- %TEMP%\tmp9aca.tmp
- %TEMP%\tmp9ada.tmp
- %TEMP%\tmp9b0a.tmp
- %TEMP%\tmp9a6c.tmp
- %TEMP%\tmp9a7d.tmp
- %TEMP%\tmp9996.tmp
- %TEMP%\tmp9994.tmp
- %TEMP%\tmp9983.tmp
- %TEMP%\tmp9800.tmp
- %TEMP%\tmp9811.tmp
- %TEMP%\tmp9842.tmp
- %TEMP%\tmp9863.tmp
- %TEMP%\tmp9884.tmp
- %TEMP%\tmp9896.tmp
- %TEMP%\tmp98a8.tmp
- %TEMP%\tmp98b9.tmp
- %TEMP%\tmp98bb.tmp
- %TEMP%\tmp98cd.tmp
- %TEMP%\tmp97fe.tmp
- %TEMP%\tmp98cf.tmp
- %TEMP%\tmp98e2.tmp
- %TEMP%\tmp98f4.tmp
- %TEMP%\tmp9906.tmp
- %TEMP%\tmp9936.tmp
- %TEMP%\tmp9938.tmp
- %TEMP%\tmp994a.tmp
- %TEMP%\tmp994c.tmp
- %TEMP%\tmp995e.tmp
- %TEMP%\tmp9960.tmp
- %TEMP%\tmp9971.tmp
- %TEMP%\tmp98e0.tmp
- %TEMP%\tmp9b2a.tmp
- %TEMP%\tmp9b5a.tmp
Network activity
Connects to
- 'ip###ger.org':443
- 'microsoft.com':80
- 'pa###ships.top':80
- 'ip##pi.com':80
- 'nn##ch.xyz':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://nn##ch.xyz/
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK pa###ships.top
- DNS ASK ip##pi.com
- DNS ASK nn##ch.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'AutoHotkey' WindowName: '<Full path to file>'
Creates and executes the following
- '%APPDATA%\paperships\noabu.exe'
