Technical Information
Malicious functions
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Modifies file system
Creates the following files
- %TEMP%\tmp4af4.tmp
- %TEMP%\tmp4d6e.tmp
- %TEMP%\tmp4d6d.tmp
- %TEMP%\tmp4d5d.tmp
- %TEMP%\tmp4d5c.tmp
- %TEMP%\tmp4d5b.tmp
- %TEMP%\tmp4d5a.tmp
- %TEMP%\tmp4d59.tmp
- %TEMP%\tmp4d48.tmp
- %TEMP%\tmp4d47.tmp
- %TEMP%\tmp4d46.tmp
- %TEMP%\tmp4d36.tmp
- %TEMP%\tmp4d35.tmp
- %TEMP%\tmp4d24.tmp
- %TEMP%\tmp4d23.tmp
- %TEMP%\tmp4d22.tmp
- %TEMP%\tmp4d21.tmp
- %TEMP%\tmp4d20.tmp
- %TEMP%\tmp4d0f.tmp
- %TEMP%\tmp4d0e.tmp
- %TEMP%\tmp4d0d.tmp
- %TEMP%\tmp4d0c.tmp
- %TEMP%\tmp4cfb.tmp
- %TEMP%\tmp4cfc.tmp
- %TEMP%\tmp4d6f.tmp
- %TEMP%\tmp4d70.tmp
- %TEMP%\tmp4e51.tmp
- %TEMP%\tmp4dd3.tmp
- %TEMP%\tmp4dc3.tmp
- %TEMP%\tmp4dc2.tmp
- %TEMP%\tmp4dc1.tmp
- %TEMP%\tmp4db0.tmp
- %TEMP%\tmp4daf.tmp
- %TEMP%\tmp4dae.tmp
- %TEMP%\tmp4dad.tmp
- %TEMP%\tmp4dac.tmp
- %TEMP%\tmp4d9b.tmp
- %TEMP%\tmp4c9e.tmp
- %TEMP%\tmp4d9a.tmp
- %TEMP%\tmp4d99.tmp
- %TEMP%\tmp4d98.tmp
- %TEMP%\tmp4d87.tmp
- %TEMP%\tmp4d86.tmp
- %TEMP%\tmp4d85.tmp
- %TEMP%\tmp4d84.tmp
- %TEMP%\tmp4d83.tmp
- %TEMP%\tmp4d72.tmp
- %TEMP%\tmp4d71.tmp
- %TEMP%\tmp4cfa.tmp
- %TEMP%\tmp4cf9.tmp
- %TEMP%\tmp4ce8.tmp
- %TEMP%\tmp4c30.tmp
- %TEMP%\tmp4c20.tmp
- %TEMP%\tmp4c1f.tmp
- %TEMP%\tmp4c1e.tmp
- %TEMP%\tmp4c1d.tmp
- %TEMP%\tmp4c0c.tmp
- %TEMP%\tmp4c0b.tmp
- %TEMP%\tmp4c0a.tmp
- %TEMP%\tmp4bf9.tmp
- %TEMP%\tmp4bf8.tmp
- %TEMP%\tmp4bf7.tmp
- %TEMP%\tmp4bf6.tmp
- %TEMP%\tmp4be6.tmp
- %TEMP%\tmp4be5.tmp
- %TEMP%\tmp4bd4.tmp
- %TEMP%\tmp4bd3.tmp
- %TEMP%\tmp4bc3.tmp
- %TEMP%\tmp4bc2.tmp
- %TEMP%\tmp4bc1.tmp
- %TEMP%\tmp4b04.tmp
- %TEMP%\tmp4c32.tmp
- %TEMP%\tmp4c33.tmp
- %TEMP%\tmp4c31.tmp
- %TEMP%\tmp4c73.tmp
- %TEMP%\tmp4ce7.tmp
- %TEMP%\tmp4c74.tmp
- %TEMP%\tmp4cd7.tmp
- %TEMP%\tmp4cd6.tmp
- %TEMP%\tmp4cd5.tmp
- %TEMP%\tmp4cc4.tmp
- %TEMP%\tmp4cc3.tmp
- %TEMP%\tmp4cc2.tmp
- %TEMP%\tmp4cc1.tmp
- %TEMP%\tmp4cb0.tmp
- %TEMP%\tmp4caf.tmp
- %TEMP%\tmp4d9c.tmp
- %TEMP%\tmp4e71.tmp
- %TEMP%\tmp4c9d.tmp
- %TEMP%\tmp4c9c.tmp
- %TEMP%\tmp4c9b.tmp
- %TEMP%\tmp4c8a.tmp
- %TEMP%\tmp4c89.tmp
- %TEMP%\tmp4c88.tmp
- %TEMP%\tmp4c87.tmp
- %TEMP%\tmp4c86.tmp
- %TEMP%\tmp4c76.tmp
- %TEMP%\tmp4c75.tmp
- %TEMP%\tmp4cae.tmp
- %TEMP%\tmp4e72.tmp
Deletes the following files
- %TEMP%\tmp4b04.tmp
- %TEMP%\tmp4d22.tmp
- %TEMP%\tmp4d24.tmp
- %TEMP%\tmp4d36.tmp
- %TEMP%\tmp4d47.tmp
- %TEMP%\tmp4d59.tmp
- %TEMP%\tmp4d5b.tmp
- %TEMP%\tmp4d5d.tmp
- %TEMP%\tmp4d6e.tmp
- %TEMP%\tmp4d70.tmp
- %TEMP%\tmp4d0e.tmp
- %TEMP%\tmp4d20.tmp
- %TEMP%\tmp4d72.tmp
- %TEMP%\tmp4d98.tmp
- %TEMP%\tmp4d9a.tmp
- %TEMP%\tmp4d9c.tmp
- %TEMP%\tmp4dad.tmp
- %TEMP%\tmp4daf.tmp
- %TEMP%\tmp4dc1.tmp
- %TEMP%\tmp4dc3.tmp
- %TEMP%\tmp4dd3.tmp
- %TEMP%\tmp4e51.tmp
- %TEMP%\tmp4d84.tmp
- %TEMP%\tmp4d86.tmp
- %TEMP%\tmp4d0c.tmp
- %TEMP%\tmp4cfb.tmp
- %TEMP%\tmp4cf9.tmp
- %TEMP%\tmp4bd3.tmp
- %TEMP%\tmp4be5.tmp
- %TEMP%\tmp4bf6.tmp
- %TEMP%\tmp4bf8.tmp
- %TEMP%\tmp4c0a.tmp
- %TEMP%\tmp4c0c.tmp
- %TEMP%\tmp4c1e.tmp
- %TEMP%\tmp4c20.tmp
- %TEMP%\tmp4c31.tmp
- %TEMP%\tmp4c33.tmp
- %TEMP%\tmp4bc2.tmp
- %TEMP%\tmp4c74.tmp
- %TEMP%\tmp4c87.tmp
- %TEMP%\tmp4c89.tmp
- %TEMP%\tmp4c9b.tmp
- %TEMP%\tmp4c9d.tmp
- %TEMP%\tmp4cae.tmp
- %TEMP%\tmp4cb0.tmp
- %TEMP%\tmp4cc2.tmp
- %TEMP%\tmp4cc4.tmp
- %TEMP%\tmp4cd6.tmp
- %TEMP%\tmp4ce7.tmp
- %TEMP%\tmp4c76.tmp
- %TEMP%\tmp4e71.tmp
- %TEMP%\tmp4e72.tmp
Network activity
Connects to
- '80.#5.159.8':3214
- 'ap#.ip.sb':443
TCP
HTTP POST requests
- http://80.##.159.8:3214/ via 80.#5.159.8
UDP
- DNS ASK ap#.ip.sb
