Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Searches for windows to
detect analytical utilities:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Modifies file system
Creates the following files
- %TEMP%\tmpc679.tmp
- %TEMP%\tmpc971.tmp
- %TEMP%\tmpc970.tmp
- %TEMP%\tmpc95f.tmp
- %TEMP%\tmpc95e.tmp
- %TEMP%\tmpc95d.tmp
- %TEMP%\tmpc94d.tmp
- %TEMP%\tmpc94c.tmp
- %TEMP%\tmpc93b.tmp
- %TEMP%\tmpc93a.tmp
- %TEMP%\tmpc929.tmp
- %TEMP%\tmpc928.tmp
- %TEMP%\tmpc918.tmp
- %TEMP%\tmpc917.tmp
- %TEMP%\tmpc916.tmp
- %TEMP%\tmpc8f6.tmp
- %TEMP%\tmpc8f5.tmp
- %TEMP%\tmpc8e4.tmp
- %TEMP%\tmpc8e3.tmp
- %TEMP%\tmpc8d2.tmp
- %TEMP%\tmpc8d1.tmp
- %TEMP%\tmpc8d0.tmp
- %TEMP%\tmpc8bf.tmp
- %TEMP%\tmpc8c0.tmp
- %TEMP%\tmpc981.tmp
- %TEMP%\tmpc982.tmp
- %TEMP%\tmpca63.tmp
- %TEMP%\tmpca53.tmp
- %TEMP%\tmpca42.tmp
- %TEMP%\tmpca41.tmp
- %TEMP%\tmpca40.tmp
- %TEMP%\tmpca2f.tmp
- %TEMP%\tmpca2e.tmp
- %TEMP%\tmpca2d.tmp
- %TEMP%\tmpca1d.tmp
- %TEMP%\tmpca1c.tmp
- %TEMP%\tmpca1a.tmp
- %TEMP%\tmpc852.tmp
- %TEMP%\tmpc9fa.tmp
- %TEMP%\tmpc9e9.tmp
- %TEMP%\tmpc9e8.tmp
- %TEMP%\tmpc9d7.tmp
- %TEMP%\tmpc9c7.tmp
- %TEMP%\tmpc9c6.tmp
- %TEMP%\tmpc9a6.tmp
- %TEMP%\tmpc9a5.tmp
- %TEMP%\tmpc994.tmp
- %TEMP%\tmpc993.tmp
- %TEMP%\tmpc8be.tmp
- %TEMP%\tmpc8bd.tmp
- %TEMP%\tmpc8ac.tmp
- %TEMP%\tmpc7c5.tmp
- %TEMP%\tmpc7c4.tmp
- %TEMP%\tmpc7b4.tmp
- %TEMP%\tmpc7b3.tmp
- %TEMP%\tmpc7a2.tmp
- %TEMP%\tmpc7a1.tmp
- %TEMP%\tmpc7a0.tmp
- %TEMP%\tmpc790.tmp
- %TEMP%\tmpc78f.tmp
- %TEMP%\tmpc77e.tmp
- %TEMP%\tmpc76d.tmp
- %TEMP%\tmpc75d.tmp
- %TEMP%\tmpc75c.tmp
- %TEMP%\tmpc72c.tmp
- %TEMP%\tmpc72b.tmp
- %TEMP%\tmpc71a.tmp
- %TEMP%\tmpc70a.tmp
- %TEMP%\tmpc709.tmp
- %TEMP%\tmpc708.tmp
- %TEMP%\tmpc67a.tmp
- %TEMP%\tmpc7e7.tmp
- %TEMP%\tmpc7e8.tmp
- %TEMP%\tmpc7e6.tmp
- %TEMP%\tmpc7f8.tmp
- %TEMP%\tmpc8ab.tmp
- %TEMP%\tmpc809.tmp
- %TEMP%\tmpc89b.tmp
- %TEMP%\tmpc89a.tmp
- %TEMP%\tmpc889.tmp
- %TEMP%\tmpc888.tmp
- %TEMP%\tmpc887.tmp
- %TEMP%\tmpc876.tmp
- %TEMP%\tmpc875.tmp
- %TEMP%\tmpc874.tmp
- %TEMP%\tmpc864.tmp
- %TEMP%\tmpca1b.tmp
- %TEMP%\tmpca93.tmp
- %TEMP%\tmpc851.tmp
- %TEMP%\tmpc841.tmp
- %TEMP%\tmpc840.tmp
- %TEMP%\tmpc83f.tmp
- %TEMP%\tmpc82e.tmp
- %TEMP%\tmpc82d.tmp
- %TEMP%\tmpc81c.tmp
- %TEMP%\tmpc81b.tmp
- %TEMP%\tmpc81a.tmp
- %TEMP%\tmpc80a.tmp
- %TEMP%\tmpc863.tmp
- %TEMP%\tmpca94.tmp
Deletes the following files
- %TEMP%\tmpc67a.tmp
- %TEMP%\tmpc8f6.tmp
- %TEMP%\tmpc917.tmp
- %TEMP%\tmpc928.tmp
- %TEMP%\tmpc93a.tmp
- %TEMP%\tmpc94c.tmp
- %TEMP%\tmpc95d.tmp
- %TEMP%\tmpc95f.tmp
- %TEMP%\tmpc971.tmp
- %TEMP%\tmpc982.tmp
- %TEMP%\tmpc8d2.tmp
- %TEMP%\tmpc8e4.tmp
- %TEMP%\tmpc994.tmp
- %TEMP%\tmpc9e8.tmp
- %TEMP%\tmpc9fa.tmp
- %TEMP%\tmpca1b.tmp
- %TEMP%\tmpca1d.tmp
- %TEMP%\tmpca2e.tmp
- %TEMP%\tmpca40.tmp
- %TEMP%\tmpca42.tmp
- %TEMP%\tmpca53.tmp
- %TEMP%\tmpca63.tmp
- %TEMP%\tmpc9a6.tmp
- %TEMP%\tmpc9c7.tmp
- %TEMP%\tmpc8d0.tmp
- %TEMP%\tmpc8bf.tmp
- %TEMP%\tmpc8bd.tmp
- %TEMP%\tmpc71a.tmp
- %TEMP%\tmpc72c.tmp
- %TEMP%\tmpc75d.tmp
- %TEMP%\tmpc77e.tmp
- %TEMP%\tmpc790.tmp
- %TEMP%\tmpc7a1.tmp
- %TEMP%\tmpc7b3.tmp
- %TEMP%\tmpc7c4.tmp
- %TEMP%\tmpc7e6.tmp
- %TEMP%\tmpc7e8.tmp
- %TEMP%\tmpc709.tmp
- %TEMP%\tmpc809.tmp
- %TEMP%\tmpc81c.tmp
- %TEMP%\tmpc82e.tmp
- %TEMP%\tmpc840.tmp
- %TEMP%\tmpc851.tmp
- %TEMP%\tmpc863.tmp
- %TEMP%\tmpc874.tmp
- %TEMP%\tmpc876.tmp
- %TEMP%\tmpc888.tmp
- %TEMP%\tmpc89a.tmp
- %TEMP%\tmpc8ab.tmp
- %TEMP%\tmpc81a.tmp
- %TEMP%\tmpca93.tmp
- %TEMP%\tmpca94.tmp
Network activity
Connects to
- '80.##.206.118':3214
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://80.##.206.118:3214/ via 80.##.206.118
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Searches for the following windows
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C reg addВ HKEY_CURRENT_USER\Software\DataFinder\keycheck /vВ Status /tВ REG_DWORDВ /dВ 1 && reg addВ HKEY_CURRENT_USER\Software\DataFinder\VersiumResearch /vВ Status /tВ REG_DWORDВ /dВ 1
- '%WINDIR%\syswow64\reg.exe' addВ HKEY_CURRENT_USER\Software\DataFinder\keycheck /vВ Status /tВ REG_DWORDВ /dВ 1
