Technical Information
Malicious functions
Executes the following
- '%WINDIR%\syswow64\taskkill.exe' /F /PID 2264
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Modifies file system
Creates the following files
- %TEMP%\tmp1c85.tmp
- %TEMP%\tmp1e34.tmp
- %TEMP%\tmp1e33.tmp
- %TEMP%\tmp1e32.tmp
- %TEMP%\tmp1e31.tmp
- %TEMP%\tmp1e30.tmp
- %TEMP%\tmp1e20.tmp
- %TEMP%\tmp1e1f.tmp
- %TEMP%\tmp1e1e.tmp
- %TEMP%\tmp1e1d.tmp
- %TEMP%\tmp1e1c.tmp
- %TEMP%\tmp1e0b.tmp
- %TEMP%\tmp1e0a.tmp
- %TEMP%\tmp1e09.tmp
- %TEMP%\tmp1e08.tmp
- %TEMP%\tmp1e07.tmp
- %TEMP%\tmp1df7.tmp
- %TEMP%\tmp1df6.tmp
- %TEMP%\tmp1df5.tmp
- %TEMP%\tmp1df4.tmp
- %TEMP%\tmp1df3.tmp
- %TEMP%\tmp1df2.tmp
- %TEMP%\tmp1de0.tmp
- %TEMP%\tmp1de1.tmp
- %TEMP%\tmp1e45.tmp
- %TEMP%\tmp1e46.tmp
- %TEMP%\tmp1eaa.tmp
- %TEMP%\tmp1e99.tmp
- %TEMP%\tmp1e98.tmp
- %TEMP%\tmp1e88.tmp
- %TEMP%\tmp1e87.tmp
- %TEMP%\tmp1e86.tmp
- %TEMP%\tmp1e85.tmp
- %TEMP%\tmp1e84.tmp
- %TEMP%\tmp1e73.tmp
- %TEMP%\tmp1e72.tmp
- %TEMP%\tmp1e70.tmp
- %TEMP%\tmp1d93.tmp
- %TEMP%\tmp1e6f.tmp
- %TEMP%\tmp1e5f.tmp
- %TEMP%\tmp1e5e.tmp
- %TEMP%\tmp1e5d.tmp
- %TEMP%\tmp1e5c.tmp
- %TEMP%\tmp1e5b.tmp
- %TEMP%\tmp1e4a.tmp
- %TEMP%\tmp1e49.tmp
- %TEMP%\tmp1e48.tmp
- %TEMP%\tmp1e47.tmp
- %TEMP%\tmp1ddf.tmp
- %TEMP%\tmp1dde.tmp
- %TEMP%\tmp1ddd.tmp
- %TEMP%\tmp1d35.tmp
- %TEMP%\tmp1d34.tmp
- %TEMP%\tmp1d23.tmp
- %TEMP%\tmp1d22.tmp
- %TEMP%\tmp1d11.tmp
- %TEMP%\tmp1d10.tmp
- %TEMP%\tmp1d0f.tmp
- %TEMP%\tmp1cff.tmp
- %TEMP%\tmp1cfe.tmp
- %TEMP%\tmp1ced.tmp
- %TEMP%\tmp1cec.tmp
- %TEMP%\tmp1ceb.tmp
- %TEMP%\tmp1cdb.tmp
- %TEMP%\tmp1cda.tmp
- %TEMP%\tmp1cd9.tmp
- %TEMP%\tmp1cc8.tmp
- %TEMP%\tmp1cc7.tmp
- %TEMP%\tmp1cc6.tmp
- %TEMP%\tmp1cc5.tmp
- %TEMP%\tmp1c86.tmp
- %TEMP%\tmp1d46.tmp
- %TEMP%\tmp1d47.tmp
- %TEMP%\tmp1d36.tmp
- %TEMP%\tmp1d48.tmp
- %TEMP%\tmp1dcc.tmp
- %TEMP%\tmp1d49.tmp
- %TEMP%\tmp1dcb.tmp
- %TEMP%\tmp1dca.tmp
- %TEMP%\tmp1dba.tmp
- %TEMP%\tmp1db9.tmp
- %TEMP%\tmp1db8.tmp
- %TEMP%\tmp1db7.tmp
- %TEMP%\tmp1da6.tmp
- %TEMP%\tmp1da5.tmp
- %TEMP%\tmp1da4.tmp
- %TEMP%\tmp1e71.tmp
- %TEMP%\tmp1eca.tmp
- %TEMP%\tmp1d92.tmp
- %TEMP%\tmp1d91.tmp
- %TEMP%\tmp1d90.tmp
- %TEMP%\tmp1d7f.tmp
- %TEMP%\tmp1d7e.tmp
- %TEMP%\tmp1d7d.tmp
- %TEMP%\tmp1d7c.tmp
- %TEMP%\tmp1d6b.tmp
- %TEMP%\tmp1d6a.tmp
- %TEMP%\tmp1d4a.tmp
- %TEMP%\tmp1d94.tmp
- %TEMP%\tmp1ecb.tmp
Deletes the following files
- %TEMP%\tmp1c86.tmp
- %TEMP%\tmp1e07.tmp
- %TEMP%\tmp1e09.tmp
- %TEMP%\tmp1e0b.tmp
- %TEMP%\tmp1e1d.tmp
- %TEMP%\tmp1e1f.tmp
- %TEMP%\tmp1e30.tmp
- %TEMP%\tmp1e32.tmp
- %TEMP%\tmp1e34.tmp
- %TEMP%\tmp1e46.tmp
- %TEMP%\tmp1df4.tmp
- %TEMP%\tmp1df6.tmp
- %TEMP%\tmp1e48.tmp
- %TEMP%\tmp1e5e.tmp
- %TEMP%\tmp1e6f.tmp
- %TEMP%\tmp1e71.tmp
- %TEMP%\tmp1e73.tmp
- %TEMP%\tmp1e85.tmp
- %TEMP%\tmp1e87.tmp
- %TEMP%\tmp1e98.tmp
- %TEMP%\tmp1e99.tmp
- %TEMP%\tmp1eaa.tmp
- %TEMP%\tmp1e4a.tmp
- %TEMP%\tmp1e5c.tmp
- %TEMP%\tmp1df2.tmp
- %TEMP%\tmp1de0.tmp
- %TEMP%\tmp1dde.tmp
- %TEMP%\tmp1cc8.tmp
- %TEMP%\tmp1cda.tmp
- %TEMP%\tmp1ceb.tmp
- %TEMP%\tmp1ced.tmp
- %TEMP%\tmp1cff.tmp
- %TEMP%\tmp1d10.tmp
- %TEMP%\tmp1d22.tmp
- %TEMP%\tmp1d34.tmp
- %TEMP%\tmp1d36.tmp
- %TEMP%\tmp1d47.tmp
- %TEMP%\tmp1cc6.tmp
- %TEMP%\tmp1d49.tmp
- %TEMP%\tmp1d7c.tmp
- %TEMP%\tmp1d7e.tmp
- %TEMP%\tmp1d90.tmp
- %TEMP%\tmp1d92.tmp
- %TEMP%\tmp1d94.tmp
- %TEMP%\tmp1da5.tmp
- %TEMP%\tmp1db7.tmp
- %TEMP%\tmp1db9.tmp
- %TEMP%\tmp1dca.tmp
- %TEMP%\tmp1dcc.tmp
- %TEMP%\tmp1d6a.tmp
- %TEMP%\tmp1eca.tmp
- %TEMP%\tmp1ecb.tmp
Network activity
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
HTTP POST requests
- http://94.###.86.184:35253/IRemotePanel via 94.##3.86.184
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Miscellaneous
Searches for the following windows
- ClassName: '' WindowName: ''
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /PID 2264 && choice /C Y /N /D Y /T 3 & Del "<Full path to file>"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
