Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\sdszfo.docx
Modifies file system
Creates the following files
- %TEMP%\tmpcec3.tmp
- %TEMP%\tmpd082.tmp
- %TEMP%\tmpd081.tmp
- %TEMP%\tmpd071.tmp
- %TEMP%\tmpd070.tmp
- %TEMP%\tmpd06f.tmp
- %TEMP%\tmpd06e.tmp
- %TEMP%\tmpd06d.tmp
- %TEMP%\tmpd05c.tmp
- %TEMP%\tmpd05b.tmp
- %TEMP%\tmpd05a.tmp
- %TEMP%\tmpd059.tmp
- %TEMP%\tmpd049.tmp
- %TEMP%\tmpd048.tmp
- %TEMP%\tmpd047.tmp
- %TEMP%\tmpd046.tmp
- %TEMP%\tmpd035.tmp
- %TEMP%\tmpd034.tmp
- %TEMP%\tmpd033.tmp
- %TEMP%\tmpd022.tmp
- %TEMP%\tmpd021.tmp
- %TEMP%\tmpd020.tmp
- %TEMP%\tmpd01e.tmp
- %TEMP%\tmpd01f.tmp
- %TEMP%\tmpd083.tmp
- %TEMP%\tmpd084.tmp
- %TEMP%\tmpd117.tmp
- %TEMP%\tmpd116.tmp
- %TEMP%\tmpd106.tmp
- %TEMP%\tmpd105.tmp
- %TEMP%\tmpd104.tmp
- %TEMP%\tmpd103.tmp
- %TEMP%\tmpd0f2.tmp
- %TEMP%\tmpd0f1.tmp
- %TEMP%\tmpd0f0.tmp
- %TEMP%\tmpd0ef.tmp
- %TEMP%\tmpd0dd.tmp
- %TEMP%\tmpcfb2.tmp
- %TEMP%\tmpd0dc.tmp
- %TEMP%\tmpd0db.tmp
- %TEMP%\tmpd0cb.tmp
- %TEMP%\tmpd0ca.tmp
- %TEMP%\tmpd0c9.tmp
- %TEMP%\tmpd0c8.tmp
- %TEMP%\tmpd0b7.tmp
- %TEMP%\tmpd0b6.tmp
- %TEMP%\tmpd0b5.tmp
- %TEMP%\tmpd0b4.tmp
- %TEMP%\tmpd00e.tmp
- %TEMP%\tmpd00d.tmp
- %TEMP%\tmpd00c.tmp
- %TEMP%\tmpcf63.tmp
- %TEMP%\tmpcf62.tmp
- %TEMP%\tmpcf61.tmp
- %TEMP%\tmpcf51.tmp
- %TEMP%\tmpcf50.tmp
- %TEMP%\tmpcf4f.tmp
- %TEMP%\tmpcf3e.tmp
- %TEMP%\tmpcf3d.tmp
- %TEMP%\tmpcf3c.tmp
- %TEMP%\tmpcf2c.tmp
- %TEMP%\tmpcf2b.tmp
- %TEMP%\tmpcf2a.tmp
- %TEMP%\tmpcf29.tmp
- %TEMP%\tmpcf18.tmp
- %TEMP%\tmpcf17.tmp
- %TEMP%\tmpcf16.tmp
- %TEMP%\tmpcf05.tmp
- %TEMP%\tmpcf04.tmp
- %TEMP%\tmpcf03.tmp
- %TEMP%\tmpcec4.tmp
- %TEMP%\tmpcf75.tmp
- %TEMP%\tmpcf76.tmp
- %TEMP%\tmpcf64.tmp
- %TEMP%\tmpcf77.tmp
- %TEMP%\tmpcffb.tmp
- %TEMP%\tmpcf78.tmp
- %TEMP%\tmpcffa.tmp
- %TEMP%\tmpcfea.tmp
- %TEMP%\tmpcfe9.tmp
- %TEMP%\tmpcfe8.tmp
- %TEMP%\tmpcfd7.tmp
- %TEMP%\tmpcfd6.tmp
- %TEMP%\tmpcfd5.tmp
- %TEMP%\tmpcfc4.tmp
- %TEMP%\tmpcfc3.tmp
- %TEMP%\tmpd0ee.tmp
- %TEMP%\tmpd137.tmp
- %TEMP%\tmpcfb1.tmp
- %TEMP%\tmpcfb0.tmp
- %TEMP%\tmpcfaf.tmp
- %TEMP%\tmpcf9e.tmp
- %TEMP%\tmpcf9d.tmp
- %TEMP%\tmpcf9c.tmp
- %TEMP%\tmpcf9b.tmp
- %TEMP%\tmpcf8b.tmp
- %TEMP%\tmpcf8a.tmp
- %TEMP%\tmpcf89.tmp
- %TEMP%\tmpcfc2.tmp
- %TEMP%\tmpd138.tmp
Deletes the following files
- %TEMP%\tmpcec4.tmp
- %TEMP%\tmpd046.tmp
- %TEMP%\tmpd048.tmp
- %TEMP%\tmpd059.tmp
- %TEMP%\tmpd05b.tmp
- %TEMP%\tmpd06d.tmp
- %TEMP%\tmpd06f.tmp
- %TEMP%\tmpd071.tmp
- %TEMP%\tmpd082.tmp
- %TEMP%\tmpd084.tmp
- %TEMP%\tmpd022.tmp
- %TEMP%\tmpd034.tmp
- %TEMP%\tmpd0b5.tmp
- %TEMP%\tmpd0cb.tmp
- %TEMP%\tmpd0dc.tmp
- %TEMP%\tmpd0ee.tmp
- %TEMP%\tmpd0f0.tmp
- %TEMP%\tmpd0f2.tmp
- %TEMP%\tmpd104.tmp
- %TEMP%\tmpd106.tmp
- %TEMP%\tmpd116.tmp
- %TEMP%\tmpd117.tmp
- %TEMP%\tmpd0b7.tmp
- %TEMP%\tmpd0c9.tmp
- %TEMP%\tmpd020.tmp
- %TEMP%\tmpd01e.tmp
- %TEMP%\tmpd00d.tmp
- %TEMP%\tmpcf16.tmp
- %TEMP%\tmpcf18.tmp
- %TEMP%\tmpcf2a.tmp
- %TEMP%\tmpcf2c.tmp
- %TEMP%\tmpcf3d.tmp
- %TEMP%\tmpcf4f.tmp
- %TEMP%\tmpcf51.tmp
- %TEMP%\tmpcf62.tmp
- %TEMP%\tmpcf64.tmp
- %TEMP%\tmpcf76.tmp
- %TEMP%\tmpcf04.tmp
- %TEMP%\tmpcf78.tmp
- %TEMP%\tmpcf9b.tmp
- %TEMP%\tmpcf9d.tmp
- %TEMP%\tmpcfaf.tmp
- %TEMP%\tmpcfb1.tmp
- %TEMP%\tmpcfc2.tmp
- %TEMP%\tmpcfc4.tmp
- %TEMP%\tmpcfd6.tmp
- %TEMP%\tmpcfe8.tmp
- %TEMP%\tmpcfea.tmp
- %TEMP%\tmpcffb.tmp
- %TEMP%\tmpcf8a.tmp
- %TEMP%\tmpd137.tmp
- %TEMP%\tmpd138.tmp
Network activity
Connects to
- '2.##.214.103':3214
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://2.##.#14.103:3214/ via 2.##.214.103
UDP
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
