Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %TEMP%\tmp1f52.tmp
- %TEMP%\tmp216e.tmp
- %TEMP%\tmp216d.tmp
- %TEMP%\tmp216c.tmp
- %TEMP%\tmp215c.tmp
- %TEMP%\tmp215b.tmp
- %TEMP%\tmp215a.tmp
- %TEMP%\tmp2149.tmp
- %TEMP%\tmp2148.tmp
- %TEMP%\tmp2147.tmp
- %TEMP%\tmp2136.tmp
- %TEMP%\tmp2135.tmp
- %TEMP%\tmp2125.tmp
- %TEMP%\tmp2124.tmp
- %TEMP%\tmp2123.tmp
- %TEMP%\tmp2112.tmp
- %TEMP%\tmp2111.tmp
- %TEMP%\tmp2110.tmp
- %TEMP%\tmp2100.tmp
- %TEMP%\tmp20ff.tmp
- %TEMP%\tmp20fe.tmp
- %TEMP%\tmp20fd.tmp
- %TEMP%\tmp217f.tmp
- %TEMP%\tmp2180.tmp
- %TEMP%\tmp2181.tmp
- %TEMP%\tmp2182.tmp
- %TEMP%\tmp2224.tmp
- %TEMP%\tmp2214.tmp
- %TEMP%\tmp21f3.tmp
- %TEMP%\tmp21f2.tmp
- %TEMP%\tmp21e2.tmp
- %TEMP%\tmp21e1.tmp
- %TEMP%\tmp21e0.tmp
- %TEMP%\tmp21df.tmp
- %TEMP%\tmp21de.tmp
- %TEMP%\tmp21cd.tmp
- %TEMP%\tmp21cb.tmp
- %TEMP%\tmp21cc.tmp
- %TEMP%\tmp21bb.tmp
- %TEMP%\tmp21ba.tmp
- %TEMP%\tmp21b9.tmp
- %TEMP%\tmp21a8.tmp
- %TEMP%\tmp21a7.tmp
- %TEMP%\tmp21a6.tmp
- %TEMP%\tmp21a5.tmp
- %TEMP%\tmp2194.tmp
- %TEMP%\tmp2193.tmp
- %TEMP%\tmp2192.tmp
- %TEMP%\tmp2225.tmp
- %TEMP%\tmp20ec.tmp
- %TEMP%\tmp20eb.tmp
- %TEMP%\tmp20ea.tmp
- %TEMP%\tmp2022.tmp
- %TEMP%\tmp2012.tmp
- %TEMP%\tmp2011.tmp
- %TEMP%\tmp2000.tmp
- %TEMP%\tmp1fff.tmp
- %TEMP%\tmp1ffe.tmp
- %TEMP%\tmp1fee.tmp
- %TEMP%\tmp1fed.tmp
- %TEMP%\tmp1fec.tmp
- %TEMP%\tmp1fdb.tmp
- %TEMP%\tmp1fda.tmp
- %TEMP%\tmp1fc9.tmp
- %TEMP%\tmp1fc8.tmp
- %TEMP%\tmp1fc7.tmp
- %TEMP%\tmp1fb7.tmp
- %TEMP%\tmp1fb6.tmp
- %TEMP%\tmp1fb5.tmp
- %TEMP%\tmp1fa4.tmp
- %TEMP%\tmp1fa3.tmp
- %TEMP%\tmp1fa2.tmp
- %TEMP%\tmp1f63.tmp
- %TEMP%\tmp2023.tmp
- %TEMP%\tmp2024.tmp
- %TEMP%\tmp2035.tmp
- %TEMP%\tmp2036.tmp
- %TEMP%\tmp20d8.tmp
- %TEMP%\tmp20d7.tmp
- %TEMP%\tmp20c7.tmp
- %TEMP%\tmp20c6.tmp
- %TEMP%\tmp20b5.tmp
- %TEMP%\tmp20b4.tmp
- %TEMP%\tmp20a4.tmp
- %TEMP%\tmp20a3.tmp
- %TEMP%\tmp20a2.tmp
- %TEMP%\tmp2091.tmp
- %TEMP%\tmp207f.tmp
- %TEMP%\tmp2090.tmp
- %TEMP%\tmp207e.tmp
- %TEMP%\tmp206e.tmp
- %TEMP%\tmp206d.tmp
- %TEMP%\tmp206c.tmp
- %TEMP%\tmp205b.tmp
- %TEMP%\tmp205a.tmp
- %TEMP%\tmp204a.tmp
- %TEMP%\tmp2049.tmp
- %TEMP%\tmp2048.tmp
- %TEMP%\tmp2037.tmp
- %TEMP%\tmp20d9.tmp
- nul
Deletes the following files
- %TEMP%\tmp1f63.tmp
- %TEMP%\tmp2123.tmp
- %TEMP%\tmp2125.tmp
- %TEMP%\tmp2136.tmp
- %TEMP%\tmp2148.tmp
- %TEMP%\tmp215a.tmp
- %TEMP%\tmp215c.tmp
- %TEMP%\tmp216d.tmp
- %TEMP%\tmp217f.tmp
- %TEMP%\tmp2181.tmp
- %TEMP%\tmp2100.tmp
- %TEMP%\tmp2111.tmp
- %TEMP%\tmp2192.tmp
- %TEMP%\tmp21a8.tmp
- %TEMP%\tmp21ba.tmp
- %TEMP%\tmp21cb.tmp
- %TEMP%\tmp21cd.tmp
- %TEMP%\tmp21df.tmp
- %TEMP%\tmp21e1.tmp
- %TEMP%\tmp21f2.tmp
- %TEMP%\tmp21f3.tmp
- %TEMP%\tmp2214.tmp
- %TEMP%\tmp2194.tmp
- %TEMP%\tmp21a6.tmp
- %TEMP%\tmp20fe.tmp
- %TEMP%\tmp20ec.tmp
- %TEMP%\tmp20ea.tmp
- %TEMP%\tmp1fb5.tmp
- %TEMP%\tmp1fb7.tmp
- %TEMP%\tmp1fc8.tmp
- %TEMP%\tmp1fda.tmp
- %TEMP%\tmp1fec.tmp
- %TEMP%\tmp1fee.tmp
- %TEMP%\tmp1fff.tmp
- %TEMP%\tmp2011.tmp
- %TEMP%\tmp2022.tmp
- %TEMP%\tmp2024.tmp
- %TEMP%\tmp1fa3.tmp
- %TEMP%\tmp2036.tmp
- %TEMP%\tmp204a.tmp
- %TEMP%\tmp205b.tmp
- %TEMP%\tmp206d.tmp
- %TEMP%\tmp207e.tmp
- %TEMP%\tmp2090.tmp
- %TEMP%\tmp20a2.tmp
- %TEMP%\tmp20a4.tmp
- %TEMP%\tmp20b5.tmp
- %TEMP%\tmp20c7.tmp
- %TEMP%\tmp20d8.tmp
- %TEMP%\tmp2048.tmp
- %TEMP%\tmp2224.tmp
- %TEMP%\tmp2225.tmp
Deletes itself.
Network activity
Connects to
- '20#.#82.218.94':35253
- 'ap#.ip.sb':443
- 'ch#####.amazonaws.com':80
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
- 'ge###ugin.net':80
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
Other
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Miscellaneous
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul &del "<Full path to file>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
