Technical Information
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %TEMP%\tmpc918.tmp
- %TEMP%\tmpca8c.tmp
- %TEMP%\tmpca8d.tmp
- %TEMP%\tmpca9e.tmp
- %TEMP%\tmpcaaf.tmp
- %TEMP%\tmpcab0.tmp
- %TEMP%\tmpcab1.tmp
- %TEMP%\tmpcab2.tmp
- %TEMP%\tmpcad2.tmp
- %TEMP%\tmpcb02.tmp
- %TEMP%\tmpca8a.tmp
- %TEMP%\tmpca8b.tmp
- %TEMP%\tmpcb03.tmp
- %TEMP%\tmpcb15.tmp
- %TEMP%\tmpcb16.tmp
- %TEMP%\tmpcb27.tmp
- %TEMP%\tmpcb28.tmp
- %TEMP%\tmpcb29.tmp
- %TEMP%\tmpcb39.tmp
- %TEMP%\tmpcb3a.tmp
- %TEMP%\tmpcb5b.tmp
- %TEMP%\tmpcb5c.tmp
- %TEMP%\tmpcb13.tmp
- %TEMP%\tmpcb14.tmp
- %TEMP%\tmpca7a.tmp
- %TEMP%\tmpca79.tmp
- %TEMP%\tmpca39.tmp
- %TEMP%\tmpc939.tmp
- %TEMP%\tmpc93a.tmp
- %TEMP%\tmpc94b.tmp
- %TEMP%\tmpc94c.tmp
- %TEMP%\tmpc95d.tmp
- %TEMP%\tmpc96d.tmp
- %TEMP%\tmpc97e.tmp
- %TEMP%\tmpc97f.tmp
- %TEMP%\tmpc9be.tmp
- %TEMP%\tmpc9bf.tmp
- %TEMP%\tmpc929.tmp
- %TEMP%\tmpc9d0.tmp
- %TEMP%\tmpc9e1.tmp
- %TEMP%\tmpc9f2.tmp
- %TEMP%\tmpc9f3.tmp
- %TEMP%\tmpc9f4.tmp
- %TEMP%\tmpca05.tmp
- %TEMP%\tmpca06.tmp
- %TEMP%\tmpca16.tmp
- %TEMP%\tmpca17.tmp
- %TEMP%\tmpca28.tmp
- %TEMP%\tmpca29.tmp
- %TEMP%\tmpc9e0.tmp
- %TEMP%\tmpcb8b.tmp
- %TEMP%\tmpcb9c.tmp
Deletes the following files
- %TEMP%\tmpc929.tmp
- %TEMP%\tmpca8b.tmp
- %TEMP%\tmpca9e.tmp
- %TEMP%\tmpca8d.tmp
- %TEMP%\tmpcab0.tmp
- %TEMP%\tmpcaaf.tmp
- %TEMP%\tmpcab2.tmp
- %TEMP%\tmpcab1.tmp
- %TEMP%\tmpcb02.tmp
- %TEMP%\tmpcad2.tmp
- %TEMP%\tmpca7a.tmp
- %TEMP%\tmpca8c.tmp
- %TEMP%\tmpcb13.tmp
- %TEMP%\tmpcb14.tmp
- %TEMP%\tmpcb27.tmp
- %TEMP%\tmpcb16.tmp
- %TEMP%\tmpcb29.tmp
- %TEMP%\tmpcb28.tmp
- %TEMP%\tmpcb3a.tmp
- %TEMP%\tmpcb39.tmp
- %TEMP%\tmpcb5c.tmp
- %TEMP%\tmpcb5b.tmp
- %TEMP%\tmpcb03.tmp
- %TEMP%\tmpcb15.tmp
- %TEMP%\tmpca8a.tmp
- %TEMP%\tmpca39.tmp
- %TEMP%\tmpca79.tmp
- %TEMP%\tmpc93a.tmp
- %TEMP%\tmpc939.tmp
- %TEMP%\tmpc94c.tmp
- %TEMP%\tmpc94b.tmp
- %TEMP%\tmpc96d.tmp
- %TEMP%\tmpc95d.tmp
- %TEMP%\tmpc97f.tmp
- %TEMP%\tmpc97e.tmp
- %TEMP%\tmpc9bf.tmp
- %TEMP%\tmpc9be.tmp
- %TEMP%\tmpc918.tmp
- %TEMP%\tmpc9e0.tmp
- %TEMP%\tmpc9f2.tmp
- %TEMP%\tmpc9e1.tmp
- %TEMP%\tmpc9f4.tmp
- %TEMP%\tmpc9f3.tmp
- %TEMP%\tmpca06.tmp
- %TEMP%\tmpca05.tmp
- %TEMP%\tmpca17.tmp
- %TEMP%\tmpca16.tmp
- %TEMP%\tmpca29.tmp
- %TEMP%\tmpca28.tmp
- %TEMP%\tmpc9d0.tmp
- %TEMP%\tmpcb9c.tmp
- %TEMP%\tmpcb8b.tmp
Network activity
Connects to
- '18#.#15.113.114':8887
- 'ap#.ip.sb':443
- 'ip##fo.io':443
TCP
HTTP POST requests
- http://18#.###.113.114:8887/ via 18#.#15.113.114
Other
- 'ap#.ip.sb':443
- 'ip##fo.io':443
UDP
- DNS ASK ap#.ip.sb
- DNS ASK ip##fo.io
