Trojan.DownLoader12.27371

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Topology WMI List Config Removal Parental' = '<SYSTEM32>\nmojemib.exe'

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\Compatibility Initiator Agent PC Now] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

'<SYSTEM32>\nqqqndxfpzw.exe' "<SYSTEM32>\nmojemib.exe"
'%WINDIR%\Temp\m09lgwl3b83ctvwx.exe' -r 51051 tcp
'%TEMP%\m09lgwl3908ctvwxguyzna.exe'
'<SYSTEM32>\nmojemib.exe'

Modifies file system :

Creates the following files:

<SYSTEM32>\sepkrlnclf\run
<SYSTEM32>\sepkrlnclf\rng
%WINDIR%\Temp\m09lgwl3b83ctvwx.exe
<SYSTEM32>\sepkrlnclf\cfg
<SYSTEM32>\nqqqndxfpzw.exe
%TEMP%\m09lgwl3908ctvwxguyzna.exe
<SYSTEM32>\sepkrlnclf\tst
<SYSTEM32>\nmojemib.exe
<SYSTEM32>\sepkrlnclf\etc

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\nqqqndxfpzw.exe
<SYSTEM32>\nmojemib.exe

Deletes the following files:

%WINDIR%\Temp\m09lgwl3b83ctvwx.exe
%TEMP%\m09lgwl3908ctvwxguyzna.exe
<DRIVERS>\etc\hosts

Substitutes the HOSTS file.

Network activity:

Connects to:

'le###never.net':80
'se###never.net':80
'fi###ing.net':80
'se###nine.net':80
'le###start.net':80
'se###start.net':80
'le###nine.net':80
'pl###nine.net':80
'fi###ever.net':80
'pl###never.net':80
'fi###ine.net':80
'pl###sing.net':80
'fi###tart.net':80
'pl###start.net':80
'fa###ing.net':80
'to###ing.net':80
'fa###tart.net':80
'we###ever.net':80
've###ine.net':80
'we###ine.net':80
've###ever.net':80
'to###ever.net':80
'le###sing.net':80
'se###sing.net':80
'fa###ever.net':80
'to###tart.net':80
'fa###ine.net':80
'to###ine.net':80
'ca###ile.net':80
'fe###tate.net':80
'mu###appy.net':80
'wa###lace.net':80
'yo###ever.net':80
'tr###never.net':80
'ta###lace.net':80
'qu###tell.net':80
'so###nder.net':80
'ab###ead.net':80
'we####dayhalf.net':80
'fa###oat.net':80
'dr####hirteen.net':80
'mo###rest.net':80
'vi###ine.net':80
'lr###nine.net':80
'vi###ever.net':80
'lr###start.net':80
'vi###ing.net':80
'lr###sing.net':80
'vi###tart.net':80
'tr###start.net':80
'yo###ine.net':80
'tr###nine.net':80
'yo###tart.net':80
'lr###never.net':80
'yo###ing.net':80
'tr###sing.net':80

TCP:

HTTP GET requests:

le###never.net/index.php?me################################################
se###never.net/index.php?me################################################
fi###ing.net/index.php?me################################################
se###nine.net/index.php?me################################################
le###start.net/index.php?me################################################
se###start.net/index.php?me################################################
le###nine.net/index.php?me################################################
pl###nine.net/index.php?me################################################
fi###ever.net/index.php?me################################################
pl###never.net/index.php?me################################################
fi###ine.net/index.php?me################################################
pl###sing.net/index.php?me################################################
fi###tart.net/index.php?me################################################
pl###start.net/index.php?me################################################
fa###ing.net/index.php?me################################################
to###ing.net/index.php?me################################################
fa###tart.net/index.php?me################################################
we###ever.net/index.php?me################################################
ve###ine.net/index.php?me################################################
we###ine.net/index.php?me################################################
ve###ever.net/index.php?me################################################
to###ever.net/index.php?me################################################
le###sing.net/index.php?me################################################
se###sing.net/index.php?me################################################
fa###ever.net/index.php?me################################################
to###tart.net/index.php?me################################################
fa###ine.net/index.php?me################################################
to###ine.net/index.php?me################################################
ca###ile.net/index.php?me################################################
fe###tate.net/index.php?me################################################
mu###appy.net/index.php?me################################################
wa###lace.net/index.php?me################################################
yo###ever.net/index.php?me################################################
tr###never.net/index.php?me################################################
ta###lace.net/index.php?me################################################
qu###tell.net/index.php?me################################################
so###nder.net/index.php?me################################################
ab###ead.net/index.php?me################################################
we####dayhalf.net/index.php?me################################################
fa###oat.net/index.php?me################################################
dr####hirteen.net/index.php?me################################################
mo###rest.net/index.php?me################################################
vi###ine.net/index.php?me################################################
lr###nine.net/index.php?me################################################
vi###ever.net/index.php?me################################################
lr###start.net/index.php?me################################################
vi###ing.net/index.php?me################################################
lr###sing.net/index.php?me################################################
vi###tart.net/index.php?me################################################
tr###start.net/index.php?me################################################
yo###ine.net/index.php?me################################################
tr###nine.net/index.php?me################################################
yo###tart.net/index.php?me################################################
lr###never.net/index.php?me################################################
yo###ing.net/index.php?me################################################
tr###sing.net/index.php?me################################################

UDP:

DNS ASK le###never.net
DNS ASK se###never.net
DNS ASK fi###ing.net
DNS ASK se###nine.net
DNS ASK le###start.net
DNS ASK se###start.net
DNS ASK le###nine.net
DNS ASK pl###nine.net
DNS ASK fi###ever.net
DNS ASK pl###never.net
DNS ASK fi###ine.net
DNS ASK pl###sing.net
DNS ASK fi###tart.net
DNS ASK pl###start.net
DNS ASK se###sing.net
DNS ASK we###ever.net
DNS ASK fa###ing.net
DNS ASK to###ing.net
DNS ASK ve###ever.net
DNS ASK we###tart.net
DNS ASK ve###ine.net
DNS ASK we###ine.net
DNS ASK fa###ever.net
DNS ASK to###ever.net
DNS ASK le###sing.net
DNS ASK to###ine.net
DNS ASK fa###tart.net
DNS ASK to###tart.net
DNS ASK fa###ine.net
DNS ASK ca###ile.net
DNS ASK fe###tate.net
DNS ASK mu###appy.net
DNS ASK wa###lace.net
DNS ASK yo###ever.net
DNS ASK tr###never.net
DNS ASK ta###lace.net
DNS ASK qu###tell.net
DNS ASK so###nder.net
DNS ASK ab###ead.net
DNS ASK we####dayhalf.net
DNS ASK fa###oat.net
DNS ASK dr####hirteen.net
DNS ASK mo###rest.net
DNS ASK vi###ine.net
DNS ASK lr###nine.net
DNS ASK vi###ever.net
DNS ASK lr###start.net
DNS ASK vi###ing.net
DNS ASK lr###sing.net
DNS ASK vi###tart.net
DNS ASK tr###start.net
DNS ASK yo###ine.net
DNS ASK tr###nine.net
DNS ASK yo###tart.net
DNS ASK lr###never.net
DNS ASK yo###ing.net
DNS ASK tr###sing.net
'23#.#55.255.250':1900

Technologies

Begriffe

Schulung und Training

Mythen

Technical Information

Curing recommendations

Free trial