Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Modifies file system
Creates the following files
- %TEMP%\tmp42ba.tmp
- %TEMP%\tmp4572.tmp
- %TEMP%\tmp4571.tmp
- %TEMP%\tmp4570.tmp
- %TEMP%\tmp455f.tmp
- %TEMP%\tmp455e.tmp
- %TEMP%\tmp455d.tmp
- %TEMP%\tmp454d.tmp
- %TEMP%\tmp454c.tmp
- %TEMP%\tmp454b.tmp
- %TEMP%\tmp453a.tmp
- %TEMP%\tmp452a.tmp
- %TEMP%\tmp4529.tmp
- %TEMP%\tmp4528.tmp
- %TEMP%\tmp4517.tmp
- %TEMP%\tmp4516.tmp
- %TEMP%\tmp4505.tmp
- %TEMP%\tmp4504.tmp
- %TEMP%\tmp44f4.tmp
- %TEMP%\tmp44f3.tmp
- %TEMP%\tmp44e2.tmp
- %TEMP%\tmp44e1.tmp
- %TEMP%\tmp4583.tmp
- %TEMP%\tmp4584.tmp
- %TEMP%\tmp4585.tmp
- %TEMP%\tmp4595.tmp
- %TEMP%\tmp4695.tmp
- %TEMP%\tmp4656.tmp
- %TEMP%\tmp4636.tmp
- %TEMP%\tmp4625.tmp
- %TEMP%\tmp4624.tmp
- %TEMP%\tmp4613.tmp
- %TEMP%\tmp4612.tmp
- %TEMP%\tmp4602.tmp
- %TEMP%\tmp4601.tmp
- %TEMP%\tmp45f0.tmp
- %TEMP%\tmp45df.tmp
- %TEMP%\tmp45ef.tmp
- %TEMP%\tmp45de.tmp
- %TEMP%\tmp45dd.tmp
- %TEMP%\tmp45cc.tmp
- %TEMP%\tmp45cb.tmp
- %TEMP%\tmp45ba.tmp
- %TEMP%\tmp45b9.tmp
- %TEMP%\tmp45a9.tmp
- %TEMP%\tmp45a8.tmp
- %TEMP%\tmp45a7.tmp
- %TEMP%\tmp45a6.tmp
- %TEMP%\tmp4696.tmp
- %TEMP%\tmp44e0.tmp
- %TEMP%\tmp44d0.tmp
- %TEMP%\tmp44cf.tmp
- %TEMP%\tmp43d8.tmp
- %TEMP%\tmp43d7.tmp
- %TEMP%\tmp43c7.tmp
- %TEMP%\tmp43c6.tmp
- %TEMP%\tmp43b5.tmp
- %TEMP%\tmp43a4.tmp
- %TEMP%\tmp43a3.tmp
- %TEMP%\tmp4393.tmp
- %TEMP%\tmp4392.tmp
- %TEMP%\tmp4381.tmp
- %TEMP%\tmp4371.tmp
- %TEMP%\tmp4370.tmp
- %TEMP%\tmp435f.tmp
- %TEMP%\tmp435e.tmp
- %TEMP%\tmp434d.tmp
- %TEMP%\tmp434c.tmp
- %TEMP%\tmp433c.tmp
- %TEMP%\tmp432b.tmp
- %TEMP%\tmp432a.tmp
- %TEMP%\tmp4329.tmp
- %TEMP%\tmp42bb.tmp
- %TEMP%\tmp43d9.tmp
- %TEMP%\tmp43ea.tmp
- %TEMP%\tmp43eb.tmp
- %TEMP%\tmp43fb.tmp
- %TEMP%\tmp44bd.tmp
- %TEMP%\tmp44ac.tmp
- %TEMP%\tmp44ab.tmp
- %TEMP%\tmp449b.tmp
- %TEMP%\tmp449a.tmp
- %TEMP%\tmp4489.tmp
- %TEMP%\tmp4488.tmp
- %TEMP%\tmp4478.tmp
- %TEMP%\tmp4477.tmp
- %TEMP%\tmp4466.tmp
- %TEMP%\tmp4454.tmp
- %TEMP%\tmp4455.tmp
- %TEMP%\tmp4444.tmp
- %TEMP%\tmp4443.tmp
- %TEMP%\tmp4432.tmp
- %TEMP%\tmp4431.tmp
- %TEMP%\tmp4421.tmp
- %TEMP%\tmp4420.tmp
- %TEMP%\tmp441f.tmp
- %TEMP%\tmp440e.tmp
- %TEMP%\tmp440d.tmp
- %TEMP%\tmp43fc.tmp
- %TEMP%\tmp44ce.tmp
- nul
Deletes the following files
- %TEMP%\tmp42bb.tmp
- %TEMP%\tmp4517.tmp
- %TEMP%\tmp4529.tmp
- %TEMP%\tmp453a.tmp
- %TEMP%\tmp454c.tmp
- %TEMP%\tmp455d.tmp
- %TEMP%\tmp455f.tmp
- %TEMP%\tmp4571.tmp
- %TEMP%\tmp4583.tmp
- %TEMP%\tmp4585.tmp
- %TEMP%\tmp44f4.tmp
- %TEMP%\tmp4505.tmp
- %TEMP%\tmp45a6.tmp
- %TEMP%\tmp45cb.tmp
- %TEMP%\tmp45dd.tmp
- %TEMP%\tmp45df.tmp
- %TEMP%\tmp45f0.tmp
- %TEMP%\tmp4602.tmp
- %TEMP%\tmp4613.tmp
- %TEMP%\tmp4625.tmp
- %TEMP%\tmp4636.tmp
- %TEMP%\tmp4656.tmp
- %TEMP%\tmp45a8.tmp
- %TEMP%\tmp45b9.tmp
- %TEMP%\tmp44e2.tmp
- %TEMP%\tmp44e0.tmp
- %TEMP%\tmp44cf.tmp
- %TEMP%\tmp433c.tmp
- %TEMP%\tmp434d.tmp
- %TEMP%\tmp435f.tmp
- %TEMP%\tmp4371.tmp
- %TEMP%\tmp4392.tmp
- %TEMP%\tmp43a3.tmp
- %TEMP%\tmp43b5.tmp
- %TEMP%\tmp43c7.tmp
- %TEMP%\tmp43d8.tmp
- %TEMP%\tmp43ea.tmp
- %TEMP%\tmp432a.tmp
- %TEMP%\tmp43fb.tmp
- %TEMP%\tmp441f.tmp
- %TEMP%\tmp4421.tmp
- %TEMP%\tmp4432.tmp
- %TEMP%\tmp4444.tmp
- %TEMP%\tmp4455.tmp
- %TEMP%\tmp4477.tmp
- %TEMP%\tmp4488.tmp
- %TEMP%\tmp449a.tmp
- %TEMP%\tmp44ab.tmp
- %TEMP%\tmp44bd.tmp
- %TEMP%\tmp440d.tmp
- %TEMP%\tmp4695.tmp
- %TEMP%\tmp4696.tmp
Deletes itself.
Network activity
TCP
HTTP GET requests
- http://ch#####.amazonaws.com/
HTTP POST requests
- http://da###ans.xyz/IRemotePanel
UDP
- DNS ASK da###ans.xyz
- DNS ASK ap#.ip.sb
- DNS ASK ch#####.amazonaws.com
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del "<Full path to file>"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
