Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Modifies file system
Creates the following files
- %TEMP%\tmp2e9e.tmp
- %TEMP%\tmp30ab.tmp
- %TEMP%\tmp30aa.tmp
- %TEMP%\tmp30a9.tmp
- %TEMP%\tmp30a8.tmp
- %TEMP%\tmp3098.tmp
- %TEMP%\tmp3097.tmp
- %TEMP%\tmp3096.tmp
- %TEMP%\tmp3085.tmp
- %TEMP%\tmp3084.tmp
- %TEMP%\tmp3083.tmp
- %TEMP%\tmp3082.tmp
- %TEMP%\tmp3072.tmp
- %TEMP%\tmp3071.tmp
- %TEMP%\tmp3070.tmp
- %TEMP%\tmp305f.tmp
- %TEMP%\tmp305e.tmp
- %TEMP%\tmp304d.tmp
- %TEMP%\tmp304c.tmp
- %TEMP%\tmp304b.tmp
- %TEMP%\tmp304a.tmp
- %TEMP%\tmp303a.tmp
- %TEMP%\tmp3038.tmp
- %TEMP%\tmp3039.tmp
- %TEMP%\tmp30ac.tmp
- %TEMP%\tmp30bd.tmp
- %TEMP%\tmp3150.tmp
- %TEMP%\tmp313f.tmp
- %TEMP%\tmp310f.tmp
- %TEMP%\tmp310e.tmp
- %TEMP%\tmp310d.tmp
- %TEMP%\tmp310c.tmp
- %TEMP%\tmp30fc.tmp
- %TEMP%\tmp30fb.tmp
- %TEMP%\tmp30fa.tmp
- %TEMP%\tmp30f9.tmp
- %TEMP%\tmp30e7.tmp
- %TEMP%\tmp2fdb.tmp
- %TEMP%\tmp30e6.tmp
- %TEMP%\tmp30e5.tmp
- %TEMP%\tmp30d5.tmp
- %TEMP%\tmp30d4.tmp
- %TEMP%\tmp30d3.tmp
- %TEMP%\tmp30d2.tmp
- %TEMP%\tmp30d1.tmp
- %TEMP%\tmp30c0.tmp
- %TEMP%\tmp30bf.tmp
- %TEMP%\tmp30be.tmp
- %TEMP%\tmp3027.tmp
- %TEMP%\tmp3026.tmp
- %TEMP%\tmp3025.tmp
- %TEMP%\tmp2f7d.tmp
- %TEMP%\tmp2f6c.tmp
- %TEMP%\tmp2f6b.tmp
- %TEMP%\tmp2f5b.tmp
- %TEMP%\tmp2f5a.tmp
- %TEMP%\tmp2f59.tmp
- %TEMP%\tmp2f48.tmp
- %TEMP%\tmp2f37.tmp
- %TEMP%\tmp2f36.tmp
- %TEMP%\tmp2f26.tmp
- %TEMP%\tmp2f15.tmp
- %TEMP%\tmp2f14.tmp
- %TEMP%\tmp2f13.tmp
- %TEMP%\tmp2f03.tmp
- %TEMP%\tmp2f02.tmp
- %TEMP%\tmp2f01.tmp
- %TEMP%\tmp2ef0.tmp
- %TEMP%\tmp2eef.tmp
- %TEMP%\tmp2ede.tmp
- %TEMP%\tmp2e9f.tmp
- %TEMP%\tmp2f7f.tmp
- %TEMP%\tmp2f8f.tmp
- %TEMP%\tmp2f7e.tmp
- %TEMP%\tmp2f90.tmp
- %TEMP%\tmp3015.tmp
- %TEMP%\tmp2f91.tmp
- %TEMP%\tmp3014.tmp
- %TEMP%\tmp3013.tmp
- %TEMP%\tmp3002.tmp
- %TEMP%\tmp3001.tmp
- %TEMP%\tmp3000.tmp
- %TEMP%\tmp2fef.tmp
- %TEMP%\tmp2fee.tmp
- %TEMP%\tmp2fed.tmp
- %TEMP%\tmp2fdd.tmp
- %TEMP%\tmp30e8.tmp
- %TEMP%\tmp3160.tmp
- %TEMP%\tmp2fda.tmp
- %TEMP%\tmp2fc9.tmp
- %TEMP%\tmp2fc8.tmp
- %TEMP%\tmp2fc7.tmp
- %TEMP%\tmp2fb7.tmp
- %TEMP%\tmp2fb6.tmp
- %TEMP%\tmp2fb5.tmp
- %TEMP%\tmp2fa4.tmp
- %TEMP%\tmp2fa3.tmp
- %TEMP%\tmp2f92.tmp
- %TEMP%\tmp2fdc.tmp
- %TEMP%\tmp3171.tmp
Deletes the following files
- %TEMP%\tmp2e9f.tmp
- %TEMP%\tmp305f.tmp
- %TEMP%\tmp3071.tmp
- %TEMP%\tmp3082.tmp
- %TEMP%\tmp3084.tmp
- %TEMP%\tmp3096.tmp
- %TEMP%\tmp3098.tmp
- %TEMP%\tmp30a9.tmp
- %TEMP%\tmp30ab.tmp
- %TEMP%\tmp30bd.tmp
- %TEMP%\tmp304b.tmp
- %TEMP%\tmp304d.tmp
- %TEMP%\tmp30bf.tmp
- %TEMP%\tmp30d5.tmp
- %TEMP%\tmp30e6.tmp
- %TEMP%\tmp30e8.tmp
- %TEMP%\tmp30fa.tmp
- %TEMP%\tmp30fc.tmp
- %TEMP%\tmp310d.tmp
- %TEMP%\tmp310f.tmp
- %TEMP%\tmp313f.tmp
- %TEMP%\tmp3150.tmp
- %TEMP%\tmp30d1.tmp
- %TEMP%\tmp30d3.tmp
- %TEMP%\tmp303a.tmp
- %TEMP%\tmp3038.tmp
- %TEMP%\tmp3026.tmp
- %TEMP%\tmp2f01.tmp
- %TEMP%\tmp2f03.tmp
- %TEMP%\tmp2f14.tmp
- %TEMP%\tmp2f26.tmp
- %TEMP%\tmp2f37.tmp
- %TEMP%\tmp2f59.tmp
- %TEMP%\tmp2f5b.tmp
- %TEMP%\tmp2f6c.tmp
- %TEMP%\tmp2f7e.tmp
- %TEMP%\tmp2f8f.tmp
- %TEMP%\tmp2eef.tmp
- %TEMP%\tmp2f91.tmp
- %TEMP%\tmp2fb5.tmp
- %TEMP%\tmp2fb7.tmp
- %TEMP%\tmp2fc8.tmp
- %TEMP%\tmp2fda.tmp
- %TEMP%\tmp2fdc.tmp
- %TEMP%\tmp2fed.tmp
- %TEMP%\tmp2fef.tmp
- %TEMP%\tmp3001.tmp
- %TEMP%\tmp3013.tmp
- %TEMP%\tmp3015.tmp
- %TEMP%\tmp2fa3.tmp
- %TEMP%\tmp3160.tmp
- %TEMP%\tmp3171.tmp
Network activity
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
- http://www.ge###ugin.net/json.gp?ip###############
HTTP POST requests
- http://45.##.183.212:35253/IRemotePanel via 45.##.183.212
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
- DNS ASK ge###ugin.net
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
