Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\sdszfo.docx
Modifies file system
Creates the following files
- %TEMP%\tmpe4a3.tmp
- %TEMP%\tmpe682.tmp
- %TEMP%\tmpe681.tmp
- %TEMP%\tmpe670.tmp
- %TEMP%\tmpe66f.tmp
- %TEMP%\tmpe66e.tmp
- %TEMP%\tmpe66d.tmp
- %TEMP%\tmpe66c.tmp
- %TEMP%\tmpe65c.tmp
- %TEMP%\tmpe65b.tmp
- %TEMP%\tmpe65a.tmp
- %TEMP%\tmpe659.tmp
- %TEMP%\tmpe658.tmp
- %TEMP%\tmpe647.tmp
- %TEMP%\tmpe646.tmp
- %TEMP%\tmpe645.tmp
- %TEMP%\tmpe644.tmp
- %TEMP%\tmpe633.tmp
- %TEMP%\tmpe632.tmp
- %TEMP%\tmpe631.tmp
- %TEMP%\tmpe630.tmp
- %TEMP%\tmpe620.tmp
- %TEMP%\tmpe61e.tmp
- %TEMP%\tmpe61f.tmp
- %TEMP%\tmpe683.tmp
- %TEMP%\tmpe684.tmp
- %TEMP%\tmpe6f7.tmp
- %TEMP%\tmpe6e7.tmp
- %TEMP%\tmpe6d6.tmp
- %TEMP%\tmpe6d5.tmp
- %TEMP%\tmpe6d4.tmp
- %TEMP%\tmpe6d3.tmp
- %TEMP%\tmpe6d2.tmp
- %TEMP%\tmpe6c2.tmp
- %TEMP%\tmpe6c1.tmp
- %TEMP%\tmpe6c0.tmp
- %TEMP%\tmpe6be.tmp
- %TEMP%\tmpe5d0.tmp
- %TEMP%\tmpe6ad.tmp
- %TEMP%\tmpe6ac.tmp
- %TEMP%\tmpe6ab.tmp
- %TEMP%\tmpe6aa.tmp
- %TEMP%\tmpe699.tmp
- %TEMP%\tmpe698.tmp
- %TEMP%\tmpe697.tmp
- %TEMP%\tmpe696.tmp
- %TEMP%\tmpe695.tmp
- %TEMP%\tmpe685.tmp
- %TEMP%\tmpe61d.tmp
- %TEMP%\tmpe60c.tmp
- %TEMP%\tmpe60b.tmp
- %TEMP%\tmpe563.tmp
- %TEMP%\tmpe562.tmp
- %TEMP%\tmpe561.tmp
- %TEMP%\tmpe550.tmp
- %TEMP%\tmpe54f.tmp
- %TEMP%\tmpe54e.tmp
- %TEMP%\tmpe54d.tmp
- %TEMP%\tmpe53d.tmp
- %TEMP%\tmpe53c.tmp
- %TEMP%\tmpe52b.tmp
- %TEMP%\tmpe52a.tmp
- %TEMP%\tmpe519.tmp
- %TEMP%\tmpe518.tmp
- %TEMP%\tmpe508.tmp
- %TEMP%\tmpe507.tmp
- %TEMP%\tmpe4f6.tmp
- %TEMP%\tmpe4f5.tmp
- %TEMP%\tmpe4f4.tmp
- %TEMP%\tmpe4e4.tmp
- %TEMP%\tmpe4b4.tmp
- %TEMP%\tmpe574.tmp
- %TEMP%\tmpe575.tmp
- %TEMP%\tmpe573.tmp
- %TEMP%\tmpe586.tmp
- %TEMP%\tmpe60a.tmp
- %TEMP%\tmpe587.tmp
- %TEMP%\tmpe5fa.tmp
- %TEMP%\tmpe5f9.tmp
- %TEMP%\tmpe5f8.tmp
- %TEMP%\tmpe5f7.tmp
- %TEMP%\tmpe5e6.tmp
- %TEMP%\tmpe5e5.tmp
- %TEMP%\tmpe5e4.tmp
- %TEMP%\tmpe5e3.tmp
- %TEMP%\tmpe5d2.tmp
- %TEMP%\tmpe6bf.tmp
- %TEMP%\tmpe708.tmp
- %TEMP%\tmpe5cf.tmp
- %TEMP%\tmpe5bf.tmp
- %TEMP%\tmpe5be.tmp
- %TEMP%\tmpe5ad.tmp
- %TEMP%\tmpe5ac.tmp
- %TEMP%\tmpe5ab.tmp
- %TEMP%\tmpe5aa.tmp
- %TEMP%\tmpe59a.tmp
- %TEMP%\tmpe589.tmp
- %TEMP%\tmpe588.tmp
- %TEMP%\tmpe5d1.tmp
- %TEMP%\tmpe738.tmp
Deletes the following files
- %TEMP%\tmpe4b4.tmp
- %TEMP%\tmpe645.tmp
- %TEMP%\tmpe647.tmp
- %TEMP%\tmpe659.tmp
- %TEMP%\tmpe65b.tmp
- %TEMP%\tmpe66c.tmp
- %TEMP%\tmpe66e.tmp
- %TEMP%\tmpe670.tmp
- %TEMP%\tmpe682.tmp
- %TEMP%\tmpe684.tmp
- %TEMP%\tmpe631.tmp
- %TEMP%\tmpe633.tmp
- %TEMP%\tmpe695.tmp
- %TEMP%\tmpe6ab.tmp
- %TEMP%\tmpe6ad.tmp
- %TEMP%\tmpe6bf.tmp
- %TEMP%\tmpe6c1.tmp
- %TEMP%\tmpe6d2.tmp
- %TEMP%\tmpe6d4.tmp
- %TEMP%\tmpe6d6.tmp
- %TEMP%\tmpe6e7.tmp
- %TEMP%\tmpe6f7.tmp
- %TEMP%\tmpe697.tmp
- %TEMP%\tmpe699.tmp
- %TEMP%\tmpe620.tmp
- %TEMP%\tmpe61e.tmp
- %TEMP%\tmpe60c.tmp
- %TEMP%\tmpe4f6.tmp
- %TEMP%\tmpe508.tmp
- %TEMP%\tmpe519.tmp
- %TEMP%\tmpe52b.tmp
- %TEMP%\tmpe53d.tmp
- %TEMP%\tmpe54e.tmp
- %TEMP%\tmpe550.tmp
- %TEMP%\tmpe562.tmp
- %TEMP%\tmpe573.tmp
- %TEMP%\tmpe575.tmp
- %TEMP%\tmpe4f4.tmp
- %TEMP%\tmpe587.tmp
- %TEMP%\tmpe5aa.tmp
- %TEMP%\tmpe5ac.tmp
- %TEMP%\tmpe5be.tmp
- %TEMP%\tmpe5cf.tmp
- %TEMP%\tmpe5d1.tmp
- %TEMP%\tmpe5e3.tmp
- %TEMP%\tmpe5e5.tmp
- %TEMP%\tmpe5f7.tmp
- %TEMP%\tmpe5f9.tmp
- %TEMP%\tmpe60a.tmp
- %TEMP%\tmpe589.tmp
- %TEMP%\tmpe708.tmp
- %TEMP%\tmpe738.tmp
Network activity
Connects to
- 'zu###nzon.xyz':80
- 'ap#.ip.sb':443
TCP
HTTP POST requests
- http://zu###nzon.xyz/
UDP
- DNS ASK zu###nzon.xyz
- DNS ASK ap#.ip.sb
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
