Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %TEMP%\tmp27ac.tmp
- %TEMP%\tmp3405.tmp
- %TEMP%\tmp3404.tmp
- %TEMP%\tmp3403.tmp
- %TEMP%\tmp3402.tmp
- %TEMP%\tmp33f2.tmp
- %TEMP%\tmp33f1.tmp
- %TEMP%\tmp33f0.tmp
- %TEMP%\tmp33df.tmp
- %TEMP%\tmp33de.tmp
- %TEMP%\tmp33dd.tmp
- %TEMP%\tmp33cd.tmp
- %TEMP%\tmp33cc.tmp
- %TEMP%\tmp33cb.tmp
- %TEMP%\tmp33ba.tmp
- %TEMP%\tmp33b9.tmp
- %TEMP%\tmp33a8.tmp
- %TEMP%\tmp33a7.tmp
- %TEMP%\tmp33a6.tmp
- %TEMP%\tmp3396.tmp
- %TEMP%\tmp3395.tmp
- %TEMP%\tmp3384.tmp
- %TEMP%\tmp3382.tmp
- %TEMP%\tmp3383.tmp
- %TEMP%\tmp3416.tmp
- %TEMP%\tmp3417.tmp
- %TEMP%\tmp34d9.tmp
- %TEMP%\tmp34b8.tmp
- %TEMP%\tmp34a8.tmp
- %TEMP%\tmp34a7.tmp
- %TEMP%\tmp3496.tmp
- %TEMP%\tmp3495.tmp
- %TEMP%\tmp3494.tmp
- %TEMP%\tmp3484.tmp
- %TEMP%\tmp3483.tmp
- %TEMP%\tmp3482.tmp
- %TEMP%\tmp3470.tmp
- %TEMP%\tmp32f6.tmp
- %TEMP%\tmp345f.tmp
- %TEMP%\tmp345e.tmp
- %TEMP%\tmp345d.tmp
- %TEMP%\tmp344d.tmp
- %TEMP%\tmp344c.tmp
- %TEMP%\tmp343b.tmp
- %TEMP%\tmp342b.tmp
- %TEMP%\tmp342a.tmp
- %TEMP%\tmp3419.tmp
- %TEMP%\tmp3418.tmp
- %TEMP%\tmp3372.tmp
- %TEMP%\tmp3371.tmp
- %TEMP%\tmp3370.tmp
- %TEMP%\tmp3279.tmp
- %TEMP%\tmp3269.tmp
- %TEMP%\tmp3268.tmp
- %TEMP%\tmp3257.tmp
- %TEMP%\tmp3256.tmp
- %TEMP%\tmp3245.tmp
- %TEMP%\tmp3244.tmp
- %TEMP%\tmp3234.tmp
- %TEMP%\tmp3233.tmp
- %TEMP%\tmp3222.tmp
- %TEMP%\tmp3221.tmp
- %TEMP%\tmp3211.tmp
- %TEMP%\tmp3210.tmp
- %TEMP%\tmp31ff.tmp
- %TEMP%\tmp31fe.tmp
- %TEMP%\tmp31ed.tmp
- %TEMP%\tmp31ec.tmp
- %TEMP%\tmp31eb.tmp
- %TEMP%\tmp31db.tmp
- %TEMP%\tmp281a.tmp
- %TEMP%\tmp328b.tmp
- %TEMP%\tmp328c.tmp
- %TEMP%\tmp327a.tmp
- %TEMP%\tmp329c.tmp
- %TEMP%\tmp3340.tmp
- %TEMP%\tmp329d.tmp
- %TEMP%\tmp333f.tmp
- %TEMP%\tmp332e.tmp
- %TEMP%\tmp332d.tmp
- %TEMP%\tmp332c.tmp
- %TEMP%\tmp331c.tmp
- %TEMP%\tmp331b.tmp
- %TEMP%\tmp330a.tmp
- %TEMP%\tmp3309.tmp
- %TEMP%\tmp3308.tmp
- %TEMP%\tmp3471.tmp
- %TEMP%\tmp34f9.tmp
- %TEMP%\tmp32e6.tmp
- %TEMP%\tmp32e5.tmp
- %TEMP%\tmp32d4.tmp
- %TEMP%\tmp32d3.tmp
- %TEMP%\tmp32d2.tmp
- %TEMP%\tmp32c2.tmp
- %TEMP%\tmp32c1.tmp
- %TEMP%\tmp32b0.tmp
- %TEMP%\tmp32af.tmp
- %TEMP%\tmp329e.tmp
- %TEMP%\tmp32f7.tmp
- %TEMP%\tmp34fa.tmp
Deletes the following files
- %TEMP%\tmp281a.tmp
- %TEMP%\tmp33b9.tmp
- %TEMP%\tmp33cb.tmp
- %TEMP%\tmp33cd.tmp
- %TEMP%\tmp33de.tmp
- %TEMP%\tmp33f0.tmp
- %TEMP%\tmp33f2.tmp
- %TEMP%\tmp3403.tmp
- %TEMP%\tmp3405.tmp
- %TEMP%\tmp3417.tmp
- %TEMP%\tmp3396.tmp
- %TEMP%\tmp33a7.tmp
- %TEMP%\tmp3419.tmp
- %TEMP%\tmp345d.tmp
- %TEMP%\tmp345f.tmp
- %TEMP%\tmp3471.tmp
- %TEMP%\tmp3483.tmp
- %TEMP%\tmp3494.tmp
- %TEMP%\tmp3496.tmp
- %TEMP%\tmp34a8.tmp
- %TEMP%\tmp34b8.tmp
- %TEMP%\tmp34d9.tmp
- %TEMP%\tmp342b.tmp
- %TEMP%\tmp344c.tmp
- %TEMP%\tmp3384.tmp
- %TEMP%\tmp3382.tmp
- %TEMP%\tmp3371.tmp
- %TEMP%\tmp31ed.tmp
- %TEMP%\tmp31ff.tmp
- %TEMP%\tmp3211.tmp
- %TEMP%\tmp3222.tmp
- %TEMP%\tmp3234.tmp
- %TEMP%\tmp3245.tmp
- %TEMP%\tmp3257.tmp
- %TEMP%\tmp3269.tmp
- %TEMP%\tmp327a.tmp
- %TEMP%\tmp328c.tmp
- %TEMP%\tmp31eb.tmp
- %TEMP%\tmp329d.tmp
- %TEMP%\tmp32c1.tmp
- %TEMP%\tmp32d2.tmp
- %TEMP%\tmp32d4.tmp
- %TEMP%\tmp32e6.tmp
- %TEMP%\tmp32f7.tmp
- %TEMP%\tmp3309.tmp
- %TEMP%\tmp331b.tmp
- %TEMP%\tmp332c.tmp
- %TEMP%\tmp332e.tmp
- %TEMP%\tmp3340.tmp
- %TEMP%\tmp32af.tmp
- %TEMP%\tmp34f9.tmp
- %TEMP%\tmp34fa.tmp
Network activity
Connects to
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://je###aki.xyz/
UDP
- DNS ASK mb#.#azeni.ru
- DNS ASK je###aki.xyz
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
