Technical Information
Malicious functions
Injects code into
the following user processes:
- installutil.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
Modifies file system
Creates the following files
- %TEMP%\installutil.exe
- %TEMP%\tmp214e.tmp
- %TEMP%\tmp214d.tmp
- %TEMP%\tmp214c.tmp
- %TEMP%\tmp213c.tmp
- %TEMP%\tmp213b.tmp
- %TEMP%\tmp213a.tmp
- %TEMP%\tmp2129.tmp
- %TEMP%\tmp2128.tmp
- %TEMP%\tmp2117.tmp
- %TEMP%\tmp2116.tmp
- %TEMP%\tmp20f6.tmp
- %TEMP%\tmp20f5.tmp
- %TEMP%\tmp20f4.tmp
- %TEMP%\tmp20e4.tmp
- %TEMP%\tmp20e3.tmp
- %TEMP%\tmp20e2.tmp
- %TEMP%\tmp20d1.tmp
- %TEMP%\tmp20d0.tmp
- %TEMP%\tmp20bf.tmp
- %TEMP%\tmp20be.tmp
- %TEMP%\tmp20bd.tmp
- %TEMP%\tmp215f.tmp
- %TEMP%\tmp2160.tmp
- %TEMP%\tmp2161.tmp
- %TEMP%\tmp2162.tmp
- %TEMP%\tmp2223.tmp
- %TEMP%\tmp2213.tmp
- %TEMP%\tmp21d3.tmp
- %TEMP%\tmp21d2.tmp
- %TEMP%\tmp21d1.tmp
- %TEMP%\tmp21d0.tmp
- %TEMP%\tmp21c0.tmp
- %TEMP%\tmp21bf.tmp
- %TEMP%\tmp21be.tmp
- %TEMP%\tmp21bd.tmp
- %TEMP%\tmp21ab.tmp
- %TEMP%\tmp21ac.tmp
- %TEMP%\tmp21aa.tmp
- %TEMP%\tmp219a.tmp
- %TEMP%\tmp2199.tmp
- %TEMP%\tmp2188.tmp
- %TEMP%\tmp2187.tmp
- %TEMP%\tmp2186.tmp
- %TEMP%\tmp2175.tmp
- %TEMP%\tmp2174.tmp
- %TEMP%\tmp2173.tmp
- %TEMP%\tmp2172.tmp
- %TEMP%\tmp2244.tmp
- %TEMP%\tmp20bc.tmp
- %TEMP%\tmp209c.tmp
- %TEMP%\tmp209b.tmp
- %TEMP%\tmp1f76.tmp
- %TEMP%\tmp1f65.tmp
- %TEMP%\tmp1f64.tmp
- %TEMP%\tmp1f63.tmp
- %TEMP%\tmp1f53.tmp
- %TEMP%\tmp1f52.tmp
- %TEMP%\tmp1f41.tmp
- %TEMP%\tmp1f31.tmp
- %TEMP%\tmp1f30.tmp
- %TEMP%\tmp1f0f.tmp
- %TEMP%\tmp1f0e.tmp
- %TEMP%\tmp1f0d.tmp
- %TEMP%\tmp1efd.tmp
- %TEMP%\tmp1eec.tmp
- %TEMP%\tmp1edc.tmp
- %TEMP%\tmp1ecb.tmp
- %TEMP%\tmp1eca.tmp
- %TEMP%\tmp1ec9.tmp
- %TEMP%\tmp1eb8.tmp
- %TEMP%\tmp1e89.tmp
- %TEMP%\tmp1e49.tmp
- %TEMP%\tmp1f77.tmp
- %TEMP%\tmp1f78.tmp
- %TEMP%\tmp1f89.tmp
- %TEMP%\tmp1f8a.tmp
- %TEMP%\tmp208a.tmp
- %TEMP%\tmp2089.tmp
- %TEMP%\tmp2078.tmp
- %TEMP%\tmp2077.tmp
- %TEMP%\tmp2076.tmp
- %TEMP%\tmp2046.tmp
- %TEMP%\tmp2045.tmp
- %TEMP%\tmp2035.tmp
- %TEMP%\tmp2034.tmp
- %TEMP%\tmp2023.tmp
- %TEMP%\tmp2011.tmp
- %TEMP%\tmp2022.tmp
- %TEMP%\tmp1fd2.tmp
- %TEMP%\tmp1fd1.tmp
- %TEMP%\tmp1fd0.tmp
- %TEMP%\tmp1fbf.tmp
- %TEMP%\tmp1faf.tmp
- %TEMP%\tmp1fae.tmp
- %TEMP%\tmp1fad.tmp
- %TEMP%\tmp1f9c.tmp
- %TEMP%\tmp1f9b.tmp
- %TEMP%\tmp1f9a.tmp
- %TEMP%\tmp208b.tmp
- %TEMP%\tmp2254.tmp
Deletes the following files
- %TEMP%\tmp1e89.tmp
- %TEMP%\tmp20f4.tmp
- %TEMP%\tmp20f6.tmp
- %TEMP%\tmp2117.tmp
- %TEMP%\tmp2129.tmp
- %TEMP%\tmp213b.tmp
- %TEMP%\tmp214c.tmp
- %TEMP%\tmp214e.tmp
- %TEMP%\tmp2160.tmp
- %TEMP%\tmp2162.tmp
- %TEMP%\tmp20d1.tmp
- %TEMP%\tmp20e3.tmp
- %TEMP%\tmp2173.tmp
- %TEMP%\tmp2199.tmp
- %TEMP%\tmp21aa.tmp
- %TEMP%\tmp21ac.tmp
- %TEMP%\tmp21be.tmp
- %TEMP%\tmp21c0.tmp
- %TEMP%\tmp21d1.tmp
- %TEMP%\tmp21d3.tmp
- %TEMP%\tmp2213.tmp
- %TEMP%\tmp2223.tmp
- %TEMP%\tmp2175.tmp
- %TEMP%\tmp2187.tmp
- %TEMP%\tmp20bf.tmp
- %TEMP%\tmp20bd.tmp
- %TEMP%\tmp209c.tmp
- %TEMP%\tmp1ecb.tmp
- %TEMP%\tmp1eec.tmp
- %TEMP%\tmp1f0d.tmp
- %TEMP%\tmp1f0f.tmp
- %TEMP%\tmp1f31.tmp
- %TEMP%\tmp1f52.tmp
- %TEMP%\tmp1f63.tmp
- %TEMP%\tmp1f65.tmp
- %TEMP%\tmp1f77.tmp
- %TEMP%\tmp1f89.tmp
- %TEMP%\tmp1ec9.tmp
- %TEMP%\tmp1f9a.tmp
- %TEMP%\tmp1fae.tmp
- %TEMP%\tmp1fbf.tmp
- %TEMP%\tmp1fd1.tmp
- %TEMP%\tmp2011.tmp
- %TEMP%\tmp2023.tmp
- %TEMP%\tmp2035.tmp
- %TEMP%\tmp2046.tmp
- %TEMP%\tmp2077.tmp
- %TEMP%\tmp2089.tmp
- %TEMP%\tmp208b.tmp
- %TEMP%\tmp1f9c.tmp
- %TEMP%\tmp2244.tmp
- %TEMP%\tmp2254.tmp
Network activity
Connects to
- 'google.com':443
- 'bing.com':443
- '86.##6.181.42':3214
- 'ap#.ip.sb':443
TCP
HTTP POST requests
- http://86.###.181.42:3214/ via 86.##6.181.42
UDP
- DNS ASK google.com
- DNS ASK bing.com
- DNS ASK ap#.ip.sb
Miscellaneous
Creates and executes the following
- '%TEMP%\installutil.exe'
