Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Modifies file system
Creates the following files
- %TEMP%\tmpd143.tmp
- %TEMP%\tmpe1f0.tmp
- %TEMP%\tmpe1ef.tmp
- %TEMP%\tmpe1ee.tmp
- %TEMP%\tmpe1ed.tmp
- %TEMP%\tmpe1dc.tmp
- %TEMP%\tmpe1db.tmp
- %TEMP%\tmpe1ac.tmp
- %TEMP%\tmpe1ab.tmp
- %TEMP%\tmpe19a.tmp
- %TEMP%\tmpe199.tmp
- %TEMP%\tmpe198.tmp
- %TEMP%\tmpe187.tmp
- %TEMP%\tmpe138.tmp
- %TEMP%\tmpe137.tmp
- %TEMP%\tmpdf82.tmp
- %TEMP%\tmpdf81.tmp
- %TEMP%\tmpdf80.tmp
- %TEMP%\tmpdf6f.tmp
- %TEMP%\tmpdd8a.tmp
- %TEMP%\tmpdd89.tmp
- %TEMP%\tmpdd79.tmp
- %TEMP%\tmpdd48.tmp
- %TEMP%\tmpdd78.tmp
- %TEMP%\tmpe201.tmp
- %TEMP%\tmpe202.tmp
- %TEMP%\tmpe330.tmp
- %TEMP%\tmpe2c2.tmp
- %TEMP%\tmpe2b2.tmp
- %TEMP%\tmpe2b1.tmp
- %TEMP%\tmpe271.tmp
- %TEMP%\tmpe270.tmp
- %TEMP%\tmpe26f.tmp
- %TEMP%\tmpe26e.tmp
- %TEMP%\tmpe25e.tmp
- %TEMP%\tmpe25d.tmp
- %TEMP%\tmpe25b.tmp
- %TEMP%\tmpdcad.tmp
- %TEMP%\tmpe24a.tmp
- %TEMP%\tmpe249.tmp
- %TEMP%\tmpe229.tmp
- %TEMP%\tmpe228.tmp
- %TEMP%\tmpe227.tmp
- %TEMP%\tmpe216.tmp
- %TEMP%\tmpe215.tmp
- %TEMP%\tmpe214.tmp
- %TEMP%\tmpe213.tmp
- %TEMP%\tmpe203.tmp
- %TEMP%\tmpdd47.tmp
- %TEMP%\tmpdd46.tmp
- %TEMP%\tmpdd45.tmp
- %TEMP%\tmpdc01.tmp
- %TEMP%\tmpdc00.tmp
- %TEMP%\tmpdbef.tmp
- %TEMP%\tmpdbee.tmp
- %TEMP%\tmpdbed.tmp
- %TEMP%\tmpdbdc.tmp
- %TEMP%\tmpdbbc.tmp
- %TEMP%\tmpdb9c.tmp
- %TEMP%\tmpdb9b.tmp
- %TEMP%\tmpdb8a.tmp
- %TEMP%\tmpdb7a.tmp
- %TEMP%\tmpdb79.tmp
- %TEMP%\tmpdb78.tmp
- %TEMP%\tmpdb48.tmp
- %TEMP%\tmpdb47.tmp
- %TEMP%\tmpdb27.tmp
- %TEMP%\tmpdb26.tmp
- %TEMP%\tmpdb15.tmp
- %TEMP%\tmpdb14.tmp
- %TEMP%\tmpd7c9.tmp
- %TEMP%\tmpdc12.tmp
- %TEMP%\tmpdc13.tmp
- %TEMP%\tmpdc11.tmp
- %TEMP%\tmpdc24.tmp
- %TEMP%\tmpdd34.tmp
- %TEMP%\tmpdc25.tmp
- %TEMP%\tmpdd33.tmp
- %TEMP%\tmpdd23.tmp
- %TEMP%\tmpdd22.tmp
- %TEMP%\tmpdcd3.tmp
- %TEMP%\tmpdcd2.tmp
- %TEMP%\tmpdcc1.tmp
- %TEMP%\tmpdcc0.tmp
- %TEMP%\tmpdcbf.tmp
- %TEMP%\tmpdcaf.tmp
- %TEMP%\tmpe25c.tmp
- %TEMP%\tmpe370.tmp
- %TEMP%\tmpdc5e.tmp
- %TEMP%\tmpdc4d.tmp
- %TEMP%\tmpdc4c.tmp
- %TEMP%\tmpdc4b.tmp
- %TEMP%\tmpdc3a.tmp
- %TEMP%\tmpdc39.tmp
- %TEMP%\tmpdc38.tmp
- %TEMP%\tmpdc37.tmp
- %TEMP%\tmpdc27.tmp
- %TEMP%\tmpdc26.tmp
- %TEMP%\tmpdcae.tmp
- %TEMP%\tmpe380.tmp
Deletes the following files
- %TEMP%\tmpd7c9.tmp
- %TEMP%\tmpdf82.tmp
- %TEMP%\tmpe138.tmp
- %TEMP%\tmpe198.tmp
- %TEMP%\tmpe19a.tmp
- %TEMP%\tmpe1ac.tmp
- %TEMP%\tmpe1dc.tmp
- %TEMP%\tmpe1ee.tmp
- %TEMP%\tmpe1f0.tmp
- %TEMP%\tmpe202.tmp
- %TEMP%\tmpdd8a.tmp
- %TEMP%\tmpdf80.tmp
- %TEMP%\tmpe213.tmp
- %TEMP%\tmpe229.tmp
- %TEMP%\tmpe24a.tmp
- %TEMP%\tmpe25c.tmp
- %TEMP%\tmpe25e.tmp
- %TEMP%\tmpe26f.tmp
- %TEMP%\tmpe271.tmp
- %TEMP%\tmpe2b2.tmp
- %TEMP%\tmpe2c2.tmp
- %TEMP%\tmpe330.tmp
- %TEMP%\tmpe215.tmp
- %TEMP%\tmpe227.tmp
- %TEMP%\tmpdd79.tmp
- %TEMP%\tmpdd48.tmp
- %TEMP%\tmpdd46.tmp
- %TEMP%\tmpdb27.tmp
- %TEMP%\tmpdb48.tmp
- %TEMP%\tmpdb79.tmp
- %TEMP%\tmpdb8a.tmp
- %TEMP%\tmpdb9c.tmp
- %TEMP%\tmpdbdc.tmp
- %TEMP%\tmpdbee.tmp
- %TEMP%\tmpdc00.tmp
- %TEMP%\tmpdc11.tmp
- %TEMP%\tmpdc13.tmp
- %TEMP%\tmpdb15.tmp
- %TEMP%\tmpdc25.tmp
- %TEMP%\tmpdc38.tmp
- %TEMP%\tmpdc3a.tmp
- %TEMP%\tmpdc4c.tmp
- %TEMP%\tmpdc5e.tmp
- %TEMP%\tmpdcae.tmp
- %TEMP%\tmpdcbf.tmp
- %TEMP%\tmpdcc1.tmp
- %TEMP%\tmpdcd3.tmp
- %TEMP%\tmpdd23.tmp
- %TEMP%\tmpdd34.tmp
- %TEMP%\tmpdc27.tmp
- %TEMP%\tmpe370.tmp
- %TEMP%\tmpe380.tmp
Network activity
TCP
HTTP POST requests
- http://19#.##.128.23:81/ via 19#.#0.128.23
UDP
- DNS ASK jr.##aasi.ru
- DNS ASK ap#.ip.sb
- DNS ASK ip##fo.io
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
