Trojan.PWS.Siggen1.64098

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Update' = '%APPDATA%\WindowsUpdate.exe'

Creates the following files on removable media:

<Drive name for removable media>:\Sys.exe
<Drive name for removable media>:\autorun.inf

Malicious functions:

To complicate detection of its presence in the operating system,

forces the system hide from view:

hidden files

Executes the following:

'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holderwb.txt"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holdermail.txt"
'%TEMP%\EBFile_1.exe'

Injects code into

the following system processes:

%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe

Searches for registry branches where third party applications store passwords:

[<HKCU>\Software\Microsoft\MSNMessenger]
[<HKCU>\Software\Microsoft\IdentityCRL]
[<HKCU>\Software\Microsoft\Windows Live Mail]
[<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Internet Account Manager\Accounts]

Modifies file system:

Creates the following files:

%TEMP%\tmp1C1.tmp
%TEMP%\tmp1C0.tmp
%TEMP%\tmp1C2.tmp
%TEMP%\tmp1C4.tmp
%TEMP%\tmp1C3.tmp
%TEMP%\tmp1BC.tmp
%TEMP%\tmp1BB.tmp
%TEMP%\tmp1BD.tmp
%TEMP%\tmp1BF.tmp
%TEMP%\tmp1BE.tmp
%TEMP%\tmp1C5.tmp
%TEMP%\tmp1CC.tmp
%TEMP%\tmp1CB.tmp
%TEMP%\tmp1CD.tmp
%TEMP%\tmp1CF.tmp
%TEMP%\tmp1CE.tmp
%TEMP%\tmp1C7.tmp
%TEMP%\tmp1C6.tmp
%TEMP%\tmp1C8.tmp
%TEMP%\tmp1CA.tmp
%TEMP%\tmp1C9.tmp
%TEMP%\tmp1AC.tmp
%TEMP%\tmp1AB.tmp
%TEMP%\tmp1AD.tmp
%TEMP%\tmp1AF.tmp
%TEMP%\tmp1AE.tmp
%TEMP%\tmp1A7.tmp
%TEMP%\tmp1A6.tmp
%TEMP%\tmp1A8.tmp
%TEMP%\tmp1AA.tmp
%TEMP%\tmp1A9.tmp
%TEMP%\tmp1B0.tmp
%TEMP%\tmp1B7.tmp
%TEMP%\tmp1B6.tmp
%TEMP%\tmp1B8.tmp
%TEMP%\tmp1BA.tmp
%TEMP%\tmp1B9.tmp
%TEMP%\tmp1B2.tmp
%TEMP%\tmp1B1.tmp
%TEMP%\tmp1B3.tmp
%TEMP%\tmp1B5.tmp
%TEMP%\tmp1B4.tmp
%TEMP%\tmp1D0.tmp
%TEMP%\tmp1EC.tmp
%TEMP%\tmp1EB.tmp
%TEMP%\tmp1ED.tmp
%TEMP%\tmp1EF.tmp
%TEMP%\tmp1EE.tmp
%TEMP%\tmp1E7.tmp
%TEMP%\tmp1E6.tmp
%TEMP%\tmp1E8.tmp
%TEMP%\tmp1EA.tmp
%TEMP%\tmp1E9.tmp
%TEMP%\tmp1F0.tmp
%TEMP%\tmp1F7.tmp
%TEMP%\tmp1F6.tmp
%TEMP%\tmp1F8.tmp
%TEMP%\tmp1FA.tmp
%TEMP%\tmp1F9.tmp
%TEMP%\tmp1F2.tmp
%TEMP%\tmp1F1.tmp
%TEMP%\tmp1F3.tmp
%TEMP%\tmp1F5.tmp
%TEMP%\tmp1F4.tmp
%TEMP%\tmp1D7.tmp
%TEMP%\tmp1D6.tmp
%TEMP%\tmp1D8.tmp
%TEMP%\tmp1DA.tmp
%TEMP%\tmp1D9.tmp
%TEMP%\tmp1D2.tmp
%TEMP%\tmp1D1.tmp
%TEMP%\tmp1D3.tmp
%TEMP%\tmp1D5.tmp
%TEMP%\tmp1D4.tmp
%TEMP%\tmp1DB.tmp
%TEMP%\tmp1E2.tmp
%TEMP%\tmp1E1.tmp
%TEMP%\tmp1E3.tmp
%TEMP%\tmp1E5.tmp
%TEMP%\tmp1E4.tmp
%TEMP%\tmp1DD.tmp
%TEMP%\tmp1DC.tmp
%TEMP%\tmp1DE.tmp
%TEMP%\tmp1E0.tmp
%TEMP%\tmp1DF.tmp
%TEMP%\tmp16C.tmp
%TEMP%\tmp16B.tmp
%TEMP%\tmp16D.tmp
%TEMP%\tmp16F.tmp
%TEMP%\tmp16E.tmp
%TEMP%\tmp167.tmp
%TEMP%\tmp166.tmp
%TEMP%\tmp168.tmp
%TEMP%\tmp16A.tmp
%TEMP%\tmp169.tmp
%TEMP%\tmp170.tmp
%TEMP%\tmp177.tmp
%TEMP%\tmp176.tmp
%TEMP%\tmp178.tmp
%TEMP%\tmp17A.tmp
%TEMP%\tmp179.tmp
%TEMP%\tmp172.tmp
%TEMP%\tmp171.tmp
%TEMP%\tmp173.tmp
%TEMP%\tmp175.tmp
%TEMP%\tmp174.tmp
%TEMP%\tmp157.tmp
%TEMP%\tmp156.tmp
%TEMP%\tmp158.tmp
%TEMP%\tmp15A.tmp
%TEMP%\tmp159.tmp
%TEMP%\tmp152.tmp
%TEMP%\tmp151.tmp
%TEMP%\tmp153.tmp
%TEMP%\tmp155.tmp
%TEMP%\tmp154.tmp
%TEMP%\tmp15B.tmp
%TEMP%\tmp162.tmp
%TEMP%\tmp161.tmp
%TEMP%\tmp163.tmp
%TEMP%\tmp165.tmp
%TEMP%\tmp164.tmp
%TEMP%\tmp15D.tmp
%TEMP%\tmp15C.tmp
%TEMP%\tmp15E.tmp
%TEMP%\tmp160.tmp
%TEMP%\tmp15F.tmp
%TEMP%\tmp17B.tmp
%TEMP%\tmp197.tmp
%TEMP%\tmp196.tmp
%TEMP%\tmp198.tmp
%TEMP%\tmp19A.tmp
%TEMP%\tmp199.tmp
%TEMP%\tmp192.tmp
%TEMP%\tmp191.tmp
%TEMP%\tmp193.tmp
%TEMP%\tmp195.tmp
%TEMP%\tmp194.tmp
%TEMP%\tmp19B.tmp
%TEMP%\tmp1A2.tmp
%TEMP%\tmp1A1.tmp
%TEMP%\tmp1A3.tmp
%TEMP%\tmp1A5.tmp
%TEMP%\tmp1A4.tmp
%TEMP%\tmp19D.tmp
%TEMP%\tmp19C.tmp
%TEMP%\tmp19E.tmp
%TEMP%\tmp1A0.tmp
%TEMP%\tmp19F.tmp
%TEMP%\tmp182.tmp
%TEMP%\tmp181.tmp
%TEMP%\tmp183.tmp
%TEMP%\tmp185.tmp
%TEMP%\tmp184.tmp
%TEMP%\tmp17D.tmp
%TEMP%\tmp17C.tmp
%TEMP%\tmp17E.tmp
%TEMP%\tmp180.tmp
%TEMP%\tmp17F.tmp
%TEMP%\tmp186.tmp
%TEMP%\tmp18D.tmp
%TEMP%\tmp18C.tmp
%TEMP%\tmp18E.tmp
%TEMP%\tmp190.tmp
%TEMP%\tmp18F.tmp
%TEMP%\tmp188.tmp
%TEMP%\tmp187.tmp
%TEMP%\tmp189.tmp
%TEMP%\tmp18B.tmp
%TEMP%\tmp18A.tmp
%TEMP%\tmp1FB.tmp
%TEMP%\tmp26C.tmp
%TEMP%\tmp26B.tmp
%TEMP%\tmp26D.tmp
%TEMP%\tmp26F.tmp
%TEMP%\tmp26E.tmp
%TEMP%\tmp267.tmp
%TEMP%\tmp266.tmp
%TEMP%\tmp268.tmp
%TEMP%\tmp26A.tmp
%TEMP%\tmp269.tmp
%TEMP%\tmp270.tmp
%TEMP%\tmp277.tmp
%TEMP%\tmp276.tmp
%TEMP%\tmp278.tmp
%TEMP%\tmp27A.tmp
%TEMP%\tmp279.tmp
%TEMP%\tmp272.tmp
%TEMP%\tmp271.tmp
%TEMP%\tmp273.tmp
%TEMP%\tmp275.tmp
%TEMP%\tmp274.tmp
%TEMP%\tmp257.tmp
%TEMP%\tmp256.tmp
%TEMP%\tmp258.tmp
%TEMP%\tmp25A.tmp
%TEMP%\tmp259.tmp
%TEMP%\tmp252.tmp
%TEMP%\tmp251.tmp
%TEMP%\tmp253.tmp
%TEMP%\tmp255.tmp
%TEMP%\tmp254.tmp
%TEMP%\tmp25B.tmp
%TEMP%\tmp262.tmp
%TEMP%\tmp261.tmp
%TEMP%\tmp263.tmp
%TEMP%\tmp265.tmp
%TEMP%\tmp264.tmp
%TEMP%\tmp25D.tmp
%TEMP%\tmp25C.tmp
%TEMP%\tmp25E.tmp
%TEMP%\tmp260.tmp
%TEMP%\tmp25F.tmp
%TEMP%\tmp27B.tmp
%TEMP%\tmp297.tmp
%TEMP%\tmp296.tmp
%TEMP%\tmp298.tmp
%TEMP%\tmp29A.tmp
%TEMP%\tmp299.tmp
%TEMP%\tmp292.tmp
%TEMP%\tmp291.tmp
%TEMP%\tmp293.tmp
%TEMP%\tmp295.tmp
%TEMP%\tmp294.tmp
%TEMP%\tmp29B.tmp
%TEMP%\tmp2A2.tmp
%TEMP%\tmp2A1.tmp
%TEMP%\tmp2A3.tmp
%TEMP%\tmp2A5.tmp
%TEMP%\tmp2A4.tmp
%TEMP%\tmp29D.tmp
%TEMP%\tmp29C.tmp
%TEMP%\tmp29E.tmp
%TEMP%\tmp2A0.tmp
%TEMP%\tmp29F.tmp
%TEMP%\tmp282.tmp
%TEMP%\tmp281.tmp
%TEMP%\tmp283.tmp
%TEMP%\tmp285.tmp
%TEMP%\tmp284.tmp
%TEMP%\tmp27D.tmp
%TEMP%\tmp27C.tmp
%TEMP%\tmp27E.tmp
%TEMP%\tmp280.tmp
%TEMP%\tmp27F.tmp
%TEMP%\tmp286.tmp
%TEMP%\tmp28D.tmp
%TEMP%\tmp28C.tmp
%TEMP%\tmp28E.tmp
%TEMP%\tmp290.tmp
%TEMP%\tmp28F.tmp
%TEMP%\tmp288.tmp
%TEMP%\tmp287.tmp
%TEMP%\tmp289.tmp
%TEMP%\tmp28B.tmp
%TEMP%\tmp28A.tmp
%TEMP%\tmp217.tmp
%TEMP%\tmp216.tmp
%TEMP%\tmp218.tmp
%TEMP%\tmp21A.tmp
%TEMP%\tmp219.tmp
%TEMP%\tmp212.tmp
%TEMP%\tmp211.tmp
%TEMP%\tmp213.tmp
%TEMP%\tmp215.tmp
%TEMP%\tmp214.tmp
%TEMP%\tmp21B.tmp
%TEMP%\tmp222.tmp
%TEMP%\tmp221.tmp
%TEMP%\tmp223.tmp
%TEMP%\tmp225.tmp
%TEMP%\tmp224.tmp
%TEMP%\tmp21D.tmp
%TEMP%\tmp21C.tmp
%TEMP%\tmp21E.tmp
%TEMP%\tmp220.tmp
%TEMP%\tmp21F.tmp
%TEMP%\tmp202.tmp
%TEMP%\tmp201.tmp
%TEMP%\tmp203.tmp
%TEMP%\tmp205.tmp
%TEMP%\tmp204.tmp
%TEMP%\tmp1FD.tmp
%TEMP%\tmp1FC.tmp
%TEMP%\tmp1FE.tmp
%TEMP%\tmp200.tmp
%TEMP%\tmp1FF.tmp
%TEMP%\tmp206.tmp
%TEMP%\tmp20D.tmp
%TEMP%\tmp20C.tmp
%TEMP%\tmp20E.tmp
%TEMP%\tmp210.tmp
%TEMP%\tmp20F.tmp
%TEMP%\tmp208.tmp
%TEMP%\tmp207.tmp
%TEMP%\tmp209.tmp
%TEMP%\tmp20B.tmp
%TEMP%\tmp20A.tmp
%TEMP%\tmp226.tmp
%TEMP%\tmp242.tmp
%TEMP%\tmp241.tmp
%TEMP%\tmp243.tmp
%TEMP%\tmp245.tmp
%TEMP%\tmp244.tmp
%TEMP%\tmp23D.tmp
%TEMP%\tmp23C.tmp
%TEMP%\tmp23E.tmp
%TEMP%\tmp240.tmp
%TEMP%\tmp23F.tmp
%TEMP%\tmp246.tmp
%TEMP%\tmp24D.tmp
%TEMP%\tmp24C.tmp
%TEMP%\tmp24E.tmp
%TEMP%\tmp250.tmp
%TEMP%\tmp24F.tmp
%TEMP%\tmp248.tmp
%TEMP%\tmp247.tmp
%TEMP%\tmp249.tmp
%TEMP%\tmp24B.tmp
%TEMP%\tmp24A.tmp
%TEMP%\tmp22D.tmp
%TEMP%\tmp22C.tmp
%TEMP%\tmp22E.tmp
%TEMP%\tmp230.tmp
%TEMP%\tmp22F.tmp
%TEMP%\tmp228.tmp
%TEMP%\tmp227.tmp
%TEMP%\tmp229.tmp
%TEMP%\tmp22B.tmp
%TEMP%\tmp22A.tmp
%TEMP%\tmp231.tmp
%TEMP%\tmp238.tmp
%TEMP%\tmp237.tmp
%TEMP%\tmp239.tmp
%TEMP%\tmp23B.tmp
%TEMP%\tmp23A.tmp
%TEMP%\tmp233.tmp
%TEMP%\tmp232.tmp
%TEMP%\tmp234.tmp
%TEMP%\tmp236.tmp
%TEMP%\tmp235.tmp
%TEMP%\tmp150.tmp
%TEMP%\tmp6B.tmp
%TEMP%\tmp6A.tmp
%TEMP%\tmp6C.tmp
%TEMP%\tmp6E.tmp
%TEMP%\tmp6D.tmp
%TEMP%\tmp66.tmp
%TEMP%\tmp65.tmp
%TEMP%\tmp67.tmp
%TEMP%\tmp69.tmp
%TEMP%\tmp68.tmp
%TEMP%\tmp6F.tmp
%TEMP%\tmp76.tmp
%TEMP%\tmp75.tmp
%TEMP%\tmp77.tmp
%TEMP%\tmp79.tmp
%TEMP%\tmp78.tmp
%TEMP%\tmp71.tmp
%TEMP%\tmp70.tmp
%TEMP%\tmp72.tmp
%TEMP%\tmp74.tmp
%TEMP%\tmp73.tmp
%TEMP%\tmp56.tmp
%TEMP%\tmp55.tmp
%TEMP%\tmp57.tmp
%TEMP%\tmp59.tmp
%TEMP%\tmp58.tmp
%TEMP%\tmp51.tmp
%TEMP%\tmp50.tmp
%TEMP%\tmp52.tmp
%TEMP%\tmp54.tmp
%TEMP%\tmp53.tmp
%TEMP%\tmp5A.tmp
%TEMP%\tmp61.tmp
%TEMP%\tmp60.tmp
%TEMP%\tmp62.tmp
%TEMP%\tmp64.tmp
%TEMP%\tmp63.tmp
%TEMP%\tmp5C.tmp
%TEMP%\tmp5B.tmp
%TEMP%\tmp5D.tmp
%TEMP%\tmp5F.tmp
%TEMP%\tmp5E.tmp
%TEMP%\tmp7A.tmp
%TEMP%\tmp96.tmp
%TEMP%\tmp95.tmp
%TEMP%\tmp97.tmp
%TEMP%\tmp99.tmp
%TEMP%\tmp98.tmp
%TEMP%\tmp91.tmp
%TEMP%\tmp90.tmp
%TEMP%\tmp92.tmp
%TEMP%\tmp94.tmp
%TEMP%\tmp93.tmp
%TEMP%\tmp9A.tmp
%TEMP%\tmpA1.tmp
%TEMP%\tmpA0.tmp
%TEMP%\tmpA2.tmp
%TEMP%\tmpA4.tmp
%TEMP%\tmpA3.tmp
%TEMP%\tmp9C.tmp
%TEMP%\tmp9B.tmp
%TEMP%\tmp9D.tmp
%TEMP%\tmp9F.tmp
%TEMP%\tmp9E.tmp
%TEMP%\tmp81.tmp
%TEMP%\tmp80.tmp
%TEMP%\tmp82.tmp
%TEMP%\tmp84.tmp
%TEMP%\tmp83.tmp
%TEMP%\tmp7C.tmp
%TEMP%\tmp7B.tmp
%TEMP%\tmp7D.tmp
%TEMP%\tmp7F.tmp
%TEMP%\tmp7E.tmp
%TEMP%\tmp85.tmp
%TEMP%\tmp8C.tmp
%TEMP%\tmp8B.tmp
%TEMP%\tmp8D.tmp
%TEMP%\tmp8F.tmp
%TEMP%\tmp8E.tmp
%TEMP%\tmp87.tmp
%TEMP%\tmp86.tmp
%TEMP%\tmp88.tmp
%TEMP%\tmp8A.tmp
%TEMP%\tmp89.tmp
%TEMP%\tmp17.tmp
%TEMP%\tmp16.tmp
%TEMP%\tmp18.tmp
%TEMP%\tmp1A.tmp
%TEMP%\tmp19.tmp
%TEMP%\tmp12.tmp
%TEMP%\tmp11.tmp
%TEMP%\tmp13.tmp
%TEMP%\tmp15.tmp
%TEMP%\tmp14.tmp
%TEMP%\tmp1B.tmp
%TEMP%\tmp22.tmp
%TEMP%\tmp21.tmp
%TEMP%\tmp23.tmp
%TEMP%\tmp25.tmp
%TEMP%\tmp24.tmp
%TEMP%\tmp1D.tmp
%TEMP%\tmp1C.tmp
%TEMP%\tmp1E.tmp
%TEMP%\tmp20.tmp
%TEMP%\tmp1F.tmp
%TEMP%\tmp2.tmp
%TEMP%\tmp1.tmp
%TEMP%\tmp3.tmp
%TEMP%\tmp5.tmp
%TEMP%\tmp4.tmp
%APPDATA%\pidloc.txt
%APPDATA%\pid.txt
%APPDATA%\WindowsUpdate.exe
%TEMP%\holdermail.txt
%TEMP%\EBFile_1.exe
%TEMP%\tmp6.tmp
%TEMP%\tmpD.tmp
%TEMP%\tmpC.tmp
%TEMP%\tmpE.tmp
%TEMP%\tmp10.tmp
%TEMP%\tmpF.tmp
%TEMP%\tmp8.tmp
%TEMP%\tmp7.tmp
%TEMP%\tmp9.tmp
%TEMP%\tmpB.tmp
%TEMP%\tmpA.tmp
%TEMP%\tmp26.tmp
%TEMP%\tmp41.tmp
%TEMP%\tmp40.tmp
%TEMP%\tmp42.tmp
%TEMP%\tmp44.tmp
%TEMP%\tmp43.tmp
%TEMP%\tmp3C.tmp
%TEMP%\tmp3B.tmp
%TEMP%\tmp3D.tmp
%TEMP%\tmp3F.tmp
%TEMP%\tmp3E.tmp
%TEMP%\tmp45.tmp
%TEMP%\tmp4C.tmp
%TEMP%\tmp4B.tmp
%TEMP%\tmp4D.tmp
%TEMP%\tmp4F.tmp
%TEMP%\tmp4E.tmp
%TEMP%\tmp47.tmp
%TEMP%\tmp46.tmp
%TEMP%\tmp48.tmp
%TEMP%\tmp4A.tmp
%TEMP%\tmp49.tmp
%TEMP%\holderwb.txt
%TEMP%\tmp2C.tmp
%TEMP%\tmp2D.tmp
%TEMP%\tmp2F.tmp
%TEMP%\tmp2E.tmp
%TEMP%\tmp28.tmp
%TEMP%\tmp27.tmp
%TEMP%\tmp29.tmp
%TEMP%\tmp2B.tmp
%TEMP%\tmp2A.tmp
%TEMP%\tmp30.tmp
%TEMP%\tmp37.tmp
%TEMP%\tmp36.tmp
%TEMP%\tmp38.tmp
%TEMP%\tmp3A.tmp
%TEMP%\tmp39.tmp
%TEMP%\tmp32.tmp
%TEMP%\tmp31.tmp
%TEMP%\tmp33.tmp
%TEMP%\tmp35.tmp
%TEMP%\tmp34.tmp
%TEMP%\tmpA5.tmp
%TEMP%\tmp116.tmp
%TEMP%\tmp115.tmp
%TEMP%\tmp117.tmp
%TEMP%\tmp119.tmp
%TEMP%\tmp118.tmp
%TEMP%\tmp111.tmp
%TEMP%\tmp110.tmp
%TEMP%\tmp112.tmp
%TEMP%\tmp114.tmp
%TEMP%\tmp113.tmp
%TEMP%\tmp11A.tmp
%TEMP%\tmp121.tmp
%TEMP%\tmp120.tmp
%TEMP%\tmp122.tmp
%TEMP%\tmp124.tmp
%TEMP%\tmp123.tmp
%TEMP%\tmp11C.tmp
%TEMP%\tmp11B.tmp
%TEMP%\tmp11D.tmp
%TEMP%\tmp11F.tmp
%TEMP%\tmp11E.tmp
%TEMP%\tmp101.tmp
%TEMP%\tmp100.tmp
%TEMP%\tmp102.tmp
%TEMP%\tmp104.tmp
%TEMP%\tmp103.tmp
%TEMP%\tmpFC.tmp
%TEMP%\tmpFB.tmp
%TEMP%\tmpFD.tmp
%TEMP%\tmpFF.tmp
%TEMP%\tmpFE.tmp
%TEMP%\tmp105.tmp
%TEMP%\tmp10C.tmp
%TEMP%\tmp10B.tmp
%TEMP%\tmp10D.tmp
%TEMP%\tmp10F.tmp
%TEMP%\tmp10E.tmp
%TEMP%\tmp107.tmp
%TEMP%\tmp106.tmp
%TEMP%\tmp108.tmp
%TEMP%\tmp10A.tmp
%TEMP%\tmp109.tmp
%TEMP%\tmp125.tmp
%TEMP%\tmp141.tmp
%TEMP%\tmp140.tmp
%TEMP%\tmp142.tmp
%TEMP%\tmp144.tmp
%TEMP%\tmp143.tmp
%TEMP%\tmp13C.tmp
%TEMP%\tmp13B.tmp
%TEMP%\tmp13D.tmp
%TEMP%\tmp13F.tmp
%TEMP%\tmp13E.tmp
%TEMP%\tmp145.tmp
%TEMP%\tmp14C.tmp
%TEMP%\tmp14B.tmp
%TEMP%\tmp14D.tmp
%TEMP%\tmp14F.tmp
%TEMP%\tmp14E.tmp
%TEMP%\tmp147.tmp
%TEMP%\tmp146.tmp
%TEMP%\tmp148.tmp
%TEMP%\tmp14A.tmp
%TEMP%\tmp149.tmp
%TEMP%\tmp12C.tmp
%TEMP%\tmp12B.tmp
%TEMP%\tmp12D.tmp
%TEMP%\tmp12F.tmp
%TEMP%\tmp12E.tmp
%TEMP%\tmp127.tmp
%TEMP%\tmp126.tmp
%TEMP%\tmp128.tmp
%TEMP%\tmp12A.tmp
%TEMP%\tmp129.tmp
%TEMP%\tmp130.tmp
%TEMP%\tmp137.tmp
%TEMP%\tmp136.tmp
%TEMP%\tmp138.tmp
%TEMP%\tmp13A.tmp
%TEMP%\tmp139.tmp
%TEMP%\tmp132.tmp
%TEMP%\tmp131.tmp
%TEMP%\tmp133.tmp
%TEMP%\tmp135.tmp
%TEMP%\tmp134.tmp
%TEMP%\tmpC1.tmp
%TEMP%\tmpC0.tmp
%TEMP%\tmpC2.tmp
%TEMP%\tmpC4.tmp
%TEMP%\tmpC3.tmp
%TEMP%\tmpBC.tmp
%TEMP%\tmpBB.tmp
%TEMP%\tmpBD.tmp
%TEMP%\tmpBF.tmp
%TEMP%\tmpBE.tmp
%TEMP%\tmpC5.tmp
%TEMP%\tmpCC.tmp
%TEMP%\tmpCB.tmp
%TEMP%\tmpCD.tmp
%TEMP%\tmpCF.tmp
%TEMP%\tmpCE.tmp
%TEMP%\tmpC7.tmp
%TEMP%\tmpC6.tmp
%TEMP%\tmpC8.tmp
%TEMP%\tmpCA.tmp
%TEMP%\tmpC9.tmp
%TEMP%\tmpAC.tmp
%TEMP%\tmpAB.tmp
%TEMP%\tmpAD.tmp
%TEMP%\tmpAF.tmp
%TEMP%\tmpAE.tmp
%TEMP%\tmpA7.tmp
%TEMP%\tmpA6.tmp
%TEMP%\tmpA8.tmp
%TEMP%\tmpAA.tmp
%TEMP%\tmpA9.tmp
%TEMP%\tmpB0.tmp
%TEMP%\tmpB7.tmp
%TEMP%\tmpB6.tmp
%TEMP%\tmpB8.tmp
%TEMP%\tmpBA.tmp
%TEMP%\tmpB9.tmp
%TEMP%\tmpB2.tmp
%TEMP%\tmpB1.tmp
%TEMP%\tmpB3.tmp
%TEMP%\tmpB5.tmp
%TEMP%\tmpB4.tmp
%TEMP%\tmpD0.tmp
%TEMP%\tmpEC.tmp
%TEMP%\tmpEB.tmp
%TEMP%\tmpED.tmp
%TEMP%\tmpEF.tmp
%TEMP%\tmpEE.tmp
%TEMP%\tmpE7.tmp
%TEMP%\tmpE6.tmp
%TEMP%\tmpE8.tmp
%TEMP%\tmpEA.tmp
%TEMP%\tmpE9.tmp
%TEMP%\tmpF0.tmp
%TEMP%\tmpF7.tmp
%TEMP%\tmpF6.tmp
%TEMP%\tmpF8.tmp
%TEMP%\tmpFA.tmp
%TEMP%\tmpF9.tmp
%TEMP%\tmpF2.tmp
%TEMP%\tmpF1.tmp
%TEMP%\tmpF3.tmp
%TEMP%\tmpF5.tmp
%TEMP%\tmpF4.tmp
%TEMP%\tmpD7.tmp
%TEMP%\tmpD6.tmp
%TEMP%\tmpD8.tmp
%TEMP%\tmpDA.tmp
%TEMP%\tmpD9.tmp
%TEMP%\tmpD2.tmp
%TEMP%\tmpD1.tmp
%TEMP%\tmpD3.tmp
%TEMP%\tmpD5.tmp
%TEMP%\tmpD4.tmp
%TEMP%\tmpDB.tmp
%TEMP%\tmpE2.tmp
%TEMP%\tmpE1.tmp
%TEMP%\tmpE3.tmp
%TEMP%\tmpE5.tmp
%TEMP%\tmpE4.tmp
%TEMP%\tmpDD.tmp
%TEMP%\tmpDC.tmp
%TEMP%\tmpDE.tmp
%TEMP%\tmpE0.tmp
%TEMP%\tmpDF.tmp

Sets the 'hidden' attribute to the following files:

<Drive name for removable media>:\Sys.exe
<Drive name for removable media>:\autorun.inf

Deletes the following files:

%TEMP%\holderwb.txt
%TEMP%\holdermail.txt

Network activity:

Connects to:

'sm##.gmail.com':587
'wh#####yipaddress.com':80
'wp#d':80

TCP:

HTTP GET requests:

http://wh#####yipaddress.com/
http://11#.#11.111.1/wpad.dat via wp#d

UDP:

DNS ASK sm##.gmail.com
DNS ASK wh#####yipaddress.com
DNS ASK wp#d

Miscellaneous:

Searches for the following windows:

ClassName: 'Shell_TrayWnd' WindowName: ''

Tecnologías

Términos

Formación y educación

Mitos

Technical Information

Curing recommendations

Free trial