Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %TEMP%\tmp3f8f.tmp
- %TEMP%\tmp4267.tmp
- %TEMP%\tmp4266.tmp
- %TEMP%\tmp4255.tmp
- %TEMP%\tmp4254.tmp
- %TEMP%\tmp4253.tmp
- %TEMP%\tmp4243.tmp
- %TEMP%\tmp41d5.tmp
- %TEMP%\tmp41d4.tmp
- %TEMP%\tmp41d3.tmp
- %TEMP%\tmp41c2.tmp
- %TEMP%\tmp41c1.tmp
- %TEMP%\tmp41c0.tmp
- %TEMP%\tmp41af.tmp
- %TEMP%\tmp41ae.tmp
- %TEMP%\tmp41ad.tmp
- %TEMP%\tmp419d.tmp
- %TEMP%\tmp419c.tmp
- %TEMP%\tmp419b.tmp
- %TEMP%\tmp418a.tmp
- %TEMP%\tmp4189.tmp
- %TEMP%\tmp4179.tmp
- %TEMP%\tmp4177.tmp
- %TEMP%\tmp4178.tmp
- %TEMP%\tmp4278.tmp
- %TEMP%\tmp4279.tmp
- %TEMP%\tmp431b.tmp
- %TEMP%\tmp42fb.tmp
- %TEMP%\tmp42ea.tmp
- %TEMP%\tmp42e9.tmp
- %TEMP%\tmp42d9.tmp
- %TEMP%\tmp42d8.tmp
- %TEMP%\tmp42d7.tmp
- %TEMP%\tmp42c6.tmp
- %TEMP%\tmp42c5.tmp
- %TEMP%\tmp42c4.tmp
- %TEMP%\tmp42b2.tmp
- %TEMP%\tmp40fa.tmp
- %TEMP%\tmp42b1.tmp
- %TEMP%\tmp42b0.tmp
- %TEMP%\tmp42a0.tmp
- %TEMP%\tmp429f.tmp
- %TEMP%\tmp429e.tmp
- %TEMP%\tmp429d.tmp
- %TEMP%\tmp428c.tmp
- %TEMP%\tmp428b.tmp
- %TEMP%\tmp427b.tmp
- %TEMP%\tmp427a.tmp
- %TEMP%\tmp4176.tmp
- %TEMP%\tmp4165.tmp
- %TEMP%\tmp4164.tmp
- %TEMP%\tmp408d.tmp
- %TEMP%\tmp407c.tmp
- %TEMP%\tmp407b.tmp
- %TEMP%\tmp406b.tmp
- %TEMP%\tmp405a.tmp
- %TEMP%\tmp4059.tmp
- %TEMP%\tmp4058.tmp
- %TEMP%\tmp4047.tmp
- %TEMP%\tmp4046.tmp
- %TEMP%\tmp4036.tmp
- %TEMP%\tmp4035.tmp
- %TEMP%\tmp4024.tmp
- %TEMP%\tmp4023.tmp
- %TEMP%\tmp4013.tmp
- %TEMP%\tmp4012.tmp
- %TEMP%\tmp4011.tmp
- %TEMP%\tmp4000.tmp
- %TEMP%\tmp3fff.tmp
- %TEMP%\tmp3ffe.tmp
- %TEMP%\tmp3f9f.tmp
- %TEMP%\tmp408f.tmp
- %TEMP%\tmp409f.tmp
- %TEMP%\tmp408e.tmp
- %TEMP%\tmp40a0.tmp
- %TEMP%\tmp4153.tmp
- %TEMP%\tmp40b1.tmp
- %TEMP%\tmp4143.tmp
- %TEMP%\tmp4142.tmp
- %TEMP%\tmp4131.tmp
- %TEMP%\tmp4130.tmp
- %TEMP%\tmp412f.tmp
- %TEMP%\tmp411f.tmp
- %TEMP%\tmp411e.tmp
- %TEMP%\tmp411d.tmp
- %TEMP%\tmp410c.tmp
- %TEMP%\tmp42c3.tmp
- %TEMP%\tmp433b.tmp
- %TEMP%\tmp40f9.tmp
- %TEMP%\tmp40e9.tmp
- %TEMP%\tmp40e8.tmp
- %TEMP%\tmp40e7.tmp
- %TEMP%\tmp40d6.tmp
- %TEMP%\tmp40d5.tmp
- %TEMP%\tmp40c5.tmp
- %TEMP%\tmp40c4.tmp
- %TEMP%\tmp40b3.tmp
- %TEMP%\tmp40b2.tmp
- %TEMP%\tmp410b.tmp
- %TEMP%\tmp434c.tmp
Deletes the following files
- %TEMP%\tmp3f9f.tmp
- %TEMP%\tmp41ad.tmp
- %TEMP%\tmp41af.tmp
- %TEMP%\tmp41c1.tmp
- %TEMP%\tmp41d3.tmp
- %TEMP%\tmp41d5.tmp
- %TEMP%\tmp4253.tmp
- %TEMP%\tmp4255.tmp
- %TEMP%\tmp4267.tmp
- %TEMP%\tmp4279.tmp
- %TEMP%\tmp418a.tmp
- %TEMP%\tmp419c.tmp
- %TEMP%\tmp427b.tmp
- %TEMP%\tmp42a0.tmp
- %TEMP%\tmp42b1.tmp
- %TEMP%\tmp42c3.tmp
- %TEMP%\tmp42c5.tmp
- %TEMP%\tmp42d7.tmp
- %TEMP%\tmp42d9.tmp
- %TEMP%\tmp42ea.tmp
- %TEMP%\tmp42fb.tmp
- %TEMP%\tmp431b.tmp
- %TEMP%\tmp428c.tmp
- %TEMP%\tmp429e.tmp
- %TEMP%\tmp4179.tmp
- %TEMP%\tmp4177.tmp
- %TEMP%\tmp4165.tmp
- %TEMP%\tmp4011.tmp
- %TEMP%\tmp4013.tmp
- %TEMP%\tmp4024.tmp
- %TEMP%\tmp4036.tmp
- %TEMP%\tmp4047.tmp
- %TEMP%\tmp4059.tmp
- %TEMP%\tmp406b.tmp
- %TEMP%\tmp407c.tmp
- %TEMP%\tmp408e.tmp
- %TEMP%\tmp409f.tmp
- %TEMP%\tmp3fff.tmp
- %TEMP%\tmp40b1.tmp
- %TEMP%\tmp40c5.tmp
- %TEMP%\tmp40d6.tmp
- %TEMP%\tmp40e8.tmp
- %TEMP%\tmp40f9.tmp
- %TEMP%\tmp410b.tmp
- %TEMP%\tmp411d.tmp
- %TEMP%\tmp411f.tmp
- %TEMP%\tmp4130.tmp
- %TEMP%\tmp4142.tmp
- %TEMP%\tmp4153.tmp
- %TEMP%\tmp40b3.tmp
- %TEMP%\tmp433b.tmp
- %TEMP%\tmp434c.tmp
Network activity
Connects to
- '54.##.15.249':80
- 'ap#.ip.sb':443
- 'wh###.iana.org':43
- 'WH###.RIPE.NET':43
TCP
HTTP POST requests
- http://54.##.15.249/
UDP
- DNS ASK vy###.hoonmy.ru
- DNS ASK ap#.ip.sb
- DNS ASK wh###.iana.org
- DNS ASK WH###.RIPE.NET
Miscellaneous
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
