Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Call Host Enumerator Experience Receiver Task' = '%APPDATA%\pbaugyb\dlpext.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\pbaugyb\xawjcevx.exe' "%APPDATA%\pbaugyb\dlpext.exe"
- '%APPDATA%\pbaugyb\dlpext.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\pbaugyb\dlpext.th
- %APPDATA%\pbaugyb\xawjcevx.exe
- %APPDATA%\pbaugyb\dlpext.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\pbaugyb\dlpext.exe
Network activity:
Connects to:
- 'le####bridge.net':80
- 'he####except.net':80
- 'le####except.net':80
- 'he####bicycle.net':80
- 'le####bicycle.net':80
- 'he####bridge.net':80
- 're####ewhose.net':80
- 're####ebridge.net':80
- 'or###bridge.net':80
- 're####eexcept.net':80
- 'or###whose.net':80
- 're####ebicycle.net':80
- 'or####icycle.net':80
- 'le###rwhose.net':80
- 'va####sbicycle.net':80
- 're####bridge.net':80
- 'va####sbridge.net':80
- 're###nwhose.net':80
- 'va####swhose.net':80
- 're####bicycle.net':80
- 're####except.net':80
- 'ge####bridge.net':80
- 'ge####except.net':80
- 'he###nwhose.net':80
- 'va####sexcept.net':80
- 'ge###ewhose.net':80
- 'ge####bicycle.net':80
- 'or###except.net':80
- 'an###rwhose.net':80
- 'gl####icycle.net':80
- 'an####bicycle.net':80
- 'he###except.net':80
- 'di####ultexcept.net':80
- 'gl###whose.net':80
- 'gl###bridge.net':80
- 'fo####dwhose.net':80
- 'de###ewhose.net':80
- 'fo####dbicycle.net':80
- 'an####bridge.net':80
- 'gl###except.net':80
- 'an####except.net':80
- 'di####ultbridge.net':80
- 'pl####ntbicycle.net':80
- 'ne####arybridge.net':80
- 'pl####ntbridge.net':80
- 'ne####arywhose.net':80
- 'pl####ntwhose.net':80
- 'ne#####rybicycle.net':80
- 'ne####aryexcept.net':80
- 'he####icycle.net':80
- 'di#####ltbicycle.net':80
- 'he###bridge.net':80
- 'pl####ntexcept.net':80
- 'he###whose.net':80
- 'di####ultwhose.net':80
TCP:
HTTP GET requests:
- le####bridge.net/index.php?em################################################################
- he####except.net/index.php?em################################################################
- le####except.net/index.php?em################################################################
- he####bicycle.net/index.php?em################################################################
- le####bicycle.net/index.php?em################################################################
- he####bridge.net/index.php?em################################################################
- re####ewhose.net/index.php?em################################################################
- re####ebridge.net/index.php?em################################################################
- or###bridge.net/index.php?em################################################################
- re####eexcept.net/index.php?em################################################################
- or###whose.net/index.php?em################################################################
- re####ebicycle.net/index.php?em################################################################
- or####icycle.net/index.php?em################################################################
- le###rwhose.net/index.php?em################################################################
- va####sbicycle.net/index.php?em################################################################
- re####bridge.net/index.php?em################################################################
- va####sbridge.net/index.php?em################################################################
- re###nwhose.net/index.php?em################################################################
- va####swhose.net/index.php?em################################################################
- re####bicycle.net/index.php?em################################################################
- re####except.net/index.php?em################################################################
- ge####bridge.net/index.php?em################################################################
- ge####except.net/index.php?em################################################################
- he###nwhose.net/index.php?em################################################################
- va####sexcept.net/index.php?em################################################################
- ge###ewhose.net/index.php?em################################################################
- ge####bicycle.net/index.php?em################################################################
- or###except.net/index.php?em################################################################
- an###rwhose.net/index.php?em################################################################
- gl####icycle.net/index.php?em################################################################
- an####bicycle.net/index.php?em################################################################
- he###except.net/index.php?em################################################################
- di####ultexcept.net/index.php?em################################################################
- gl###whose.net/index.php?em################################################################
- gl###bridge.net/index.php?em################################################################
- fo####dwhose.net/index.php?em################################################################
- de###ewhose.net/index.php?em################################################################
- fo####dbicycle.net/index.php?em################################################################
- an####bridge.net/index.php?em################################################################
- gl###except.net/index.php?em################################################################
- an####except.net/index.php?em################################################################
- di####ultbridge.net/index.php?em################################################################
- pl####ntbicycle.net/index.php?em################################################################
- ne####arybridge.net/index.php?em################################################################
- pl####ntbridge.net/index.php?em################################################################
- ne####arywhose.net/index.php?em################################################################
- pl####ntwhose.net/index.php?em################################################################
- ne#####rybicycle.net/index.php?em################################################################
- ne####aryexcept.net/index.php?em################################################################
- he####icycle.net/index.php?em################################################################
- di#####ltbicycle.net/index.php?em################################################################
- he###bridge.net/index.php?em################################################################
- pl####ntexcept.net/index.php?em################################################################
- he###whose.net/index.php?em################################################################
- di####ultwhose.net/index.php?em################################################################
UDP:
- DNS ASK le####bridge.net
- DNS ASK he####except.net
- DNS ASK le####except.net
- DNS ASK he####bridge.net
- DNS ASK le###rwhose.net
- DNS ASK he####bicycle.net
- DNS ASK le####bicycle.net
- DNS ASK re####ebridge.net
- DNS ASK or###bridge.net
- DNS ASK re####eexcept.net
- DNS ASK or####icycle.net
- DNS ASK re####ewhose.net
- DNS ASK or###whose.net
- DNS ASK re####ebicycle.net
- DNS ASK va####sbicycle.net
- DNS ASK re####bridge.net
- DNS ASK va####sbridge.net
- DNS ASK re####bicycle.net
- DNS ASK de###ewagon.net
- DNS ASK re###nwhose.net
- DNS ASK va####swhose.net
- DNS ASK ge####bridge.net
- DNS ASK ge####except.net
- DNS ASK he###nwhose.net
- DNS ASK ge####bicycle.net
- DNS ASK re####except.net
- DNS ASK va####sexcept.net
- DNS ASK ge###ewhose.net
- DNS ASK an###rwhose.net
- DNS ASK gl####icycle.net
- DNS ASK an####bicycle.net
- DNS ASK gl###whose.net
- DNS ASK di####ultbridge.net
- DNS ASK he###except.net
- DNS ASK di####ultexcept.net
- DNS ASK fo####dwhose.net
- DNS ASK de###ewhose.net
- DNS ASK fo####dbicycle.net
- DNS ASK an####except.net
- DNS ASK gl###bridge.net
- DNS ASK an####bridge.net
- DNS ASK gl###except.net
- DNS ASK pl####ntbicycle.net
- DNS ASK ne####arybridge.net
- DNS ASK pl####ntbridge.net
- DNS ASK ne#####rybicycle.net
- DNS ASK or###except.net
- DNS ASK ne####arywhose.net
- DNS ASK pl####ntwhose.net
- DNS ASK he####icycle.net
- DNS ASK di#####ltbicycle.net
- DNS ASK he###bridge.net
- DNS ASK di####ultwhose.net
- DNS ASK ne####aryexcept.net
- DNS ASK pl####ntexcept.net
- DNS ASK he###whose.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
