Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Modifies file system
Creates the following files
- %TEMP%\tmp54e3.tmp
- %TEMP%\tmp5828.tmp
- %TEMP%\tmp5827.tmp
- %TEMP%\tmp5826.tmp
- %TEMP%\tmp5816.tmp
- %TEMP%\tmp5815.tmp
- %TEMP%\tmp5814.tmp
- %TEMP%\tmp5803.tmp
- %TEMP%\tmp5802.tmp
- %TEMP%\tmp5801.tmp
- %TEMP%\tmp5800.tmp
- %TEMP%\tmp57ff.tmp
- %TEMP%\tmp57ee.tmp
- %TEMP%\tmp57ce.tmp
- %TEMP%\tmp57cd.tmp
- %TEMP%\tmp57cc.tmp
- %TEMP%\tmp57bc.tmp
- %TEMP%\tmp57bb.tmp
- %TEMP%\tmp57ba.tmp
- %TEMP%\tmp57a9.tmp
- %TEMP%\tmp57a8.tmp
- %TEMP%\tmp5797.tmp
- %TEMP%\tmp5786.tmp
- %TEMP%\tmp5796.tmp
- %TEMP%\tmp5839.tmp
- %TEMP%\tmp583a.tmp
- %TEMP%\tmp58bd.tmp
- %TEMP%\tmp589d.tmp
- %TEMP%\tmp589c.tmp
- %TEMP%\tmp589b.tmp
- %TEMP%\tmp588a.tmp
- %TEMP%\tmp5889.tmp
- %TEMP%\tmp5888.tmp
- %TEMP%\tmp5887.tmp
- %TEMP%\tmp5877.tmp
- %TEMP%\tmp5876.tmp
- %TEMP%\tmp5864.tmp
- %TEMP%\tmp56fa.tmp
- %TEMP%\tmp5863.tmp
- %TEMP%\tmp5862.tmp
- %TEMP%\tmp5861.tmp
- %TEMP%\tmp5860.tmp
- %TEMP%\tmp584f.tmp
- %TEMP%\tmp584e.tmp
- %TEMP%\tmp584d.tmp
- %TEMP%\tmp584c.tmp
- %TEMP%\tmp583c.tmp
- %TEMP%\tmp583b.tmp
- %TEMP%\tmp5785.tmp
- %TEMP%\tmp5765.tmp
- %TEMP%\tmp5764.tmp
- %TEMP%\tmp568c.tmp
- %TEMP%\tmp568b.tmp
- %TEMP%\tmp568a.tmp
- %TEMP%\tmp567a.tmp
- %TEMP%\tmp5669.tmp
- %TEMP%\tmp5668.tmp
- %TEMP%\tmp5658.tmp
- %TEMP%\tmp5647.tmp
- %TEMP%\tmp5636.tmp
- %TEMP%\tmp5635.tmp
- %TEMP%\tmp5625.tmp
- %TEMP%\tmp5624.tmp
- %TEMP%\tmp5623.tmp
- %TEMP%\tmp5612.tmp
- %TEMP%\tmp5611.tmp
- %TEMP%\tmp5601.tmp
- %TEMP%\tmp5600.tmp
- %TEMP%\tmp55ef.tmp
- %TEMP%\tmp55ee.tmp
- %TEMP%\tmp54f3.tmp
- %TEMP%\tmp569e.tmp
- %TEMP%\tmp56af.tmp
- %TEMP%\tmp569d.tmp
- %TEMP%\tmp56b0.tmp
- %TEMP%\tmp5753.tmp
- %TEMP%\tmp56b1.tmp
- %TEMP%\tmp5742.tmp
- %TEMP%\tmp5741.tmp
- %TEMP%\tmp5731.tmp
- %TEMP%\tmp5730.tmp
- %TEMP%\tmp572f.tmp
- %TEMP%\tmp571e.tmp
- %TEMP%\tmp571d.tmp
- %TEMP%\tmp571c.tmp
- %TEMP%\tmp570c.tmp
- %TEMP%\tmp5875.tmp
- %TEMP%\tmp58ed.tmp
- %TEMP%\tmp56f9.tmp
- %TEMP%\tmp56e8.tmp
- %TEMP%\tmp56e7.tmp
- %TEMP%\tmp56e6.tmp
- %TEMP%\tmp56d6.tmp
- %TEMP%\tmp56d5.tmp
- %TEMP%\tmp56d4.tmp
- %TEMP%\tmp56c3.tmp
- %TEMP%\tmp56c2.tmp
- %TEMP%\tmp56c1.tmp
- %TEMP%\tmp570b.tmp
- %TEMP%\tmp58ee.tmp
Deletes the following files
- %TEMP%\tmp54f3.tmp
- %TEMP%\tmp57cc.tmp
- %TEMP%\tmp57ce.tmp
- %TEMP%\tmp57ff.tmp
- %TEMP%\tmp5801.tmp
- %TEMP%\tmp5803.tmp
- %TEMP%\tmp5815.tmp
- %TEMP%\tmp5826.tmp
- %TEMP%\tmp5828.tmp
- %TEMP%\tmp583a.tmp
- %TEMP%\tmp57a9.tmp
- %TEMP%\tmp57bb.tmp
- %TEMP%\tmp583c.tmp
- %TEMP%\tmp5861.tmp
- %TEMP%\tmp5863.tmp
- %TEMP%\tmp5875.tmp
- %TEMP%\tmp5877.tmp
- %TEMP%\tmp5888.tmp
- %TEMP%\tmp588a.tmp
- %TEMP%\tmp589c.tmp
- %TEMP%\tmp589d.tmp
- %TEMP%\tmp58bd.tmp
- %TEMP%\tmp584d.tmp
- %TEMP%\tmp584f.tmp
- %TEMP%\tmp5797.tmp
- %TEMP%\tmp5786.tmp
- %TEMP%\tmp5765.tmp
- %TEMP%\tmp5601.tmp
- %TEMP%\tmp5612.tmp
- %TEMP%\tmp5624.tmp
- %TEMP%\tmp5635.tmp
- %TEMP%\tmp5647.tmp
- %TEMP%\tmp5668.tmp
- %TEMP%\tmp567a.tmp
- %TEMP%\tmp568b.tmp
- %TEMP%\tmp569d.tmp
- %TEMP%\tmp56af.tmp
- %TEMP%\tmp55ef.tmp
- %TEMP%\tmp56b1.tmp
- %TEMP%\tmp56d4.tmp
- %TEMP%\tmp56d6.tmp
- %TEMP%\tmp56e7.tmp
- %TEMP%\tmp56f9.tmp
- %TEMP%\tmp570b.tmp
- %TEMP%\tmp571c.tmp
- %TEMP%\tmp571e.tmp
- %TEMP%\tmp5730.tmp
- %TEMP%\tmp5741.tmp
- %TEMP%\tmp5753.tmp
- %TEMP%\tmp56c2.tmp
- %TEMP%\tmp58ed.tmp
- %TEMP%\tmp58ee.tmp
Network activity
Connects to
- '14#.#6.184.5':3214
- 'ap#.ip.sb':443
TCP
HTTP POST requests
- http://14#.##.184.5:3214/ via 14#.#6.184.5
UDP
- DNS ASK ap#.ip.sb
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
