Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Shadow Secure IPsec Registrar' = '%APPDATA%\vzbectnpqhdjm\xqvemvjm.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\vzbectnpqhdjm\vioxsrvl.exe' "%APPDATA%\vzbectnpqhdjm\xqvemvjm.exe"
- '%APPDATA%\vzbectnpqhdjm\xqvemvjm.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\vzbectnpqhdjm\xqvemvjm.yn1m
- %APPDATA%\vzbectnpqhdjm\vioxsrvl.exe
- %APPDATA%\vzbectnpqhdjm\xqvemvjm.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\vzbectnpqhdjm\vioxsrvl.exe
- %APPDATA%\vzbectnpqhdjm\xqvemvjm.exe
Network activity:
Connects to:
- 'al####ybattle.net':80
- 'fo###wheart.net':80
- 'ge####manbattle.net':80
- 'ge####manmayor.net':80
- 'al####ymayor.net':80
- 'fo###wmayor.net':80
- 'me###rmayor.net':80
- 'me####perfect.net':80
- 'me###rheart.net':80
- 'fo####perfect.net':80
- 'al####yperfect.net':80
- 'fr###mayor.net':80
- 'ex####encemayor.net':80
- 'ex#####nceperfect.net':80
- 'ex####enceheart.net':80
- 'fr####erfect.net':80
- 'al####yheart.net':80
- 'ge#####anperfect.net':80
- 'ge####manheart.net':80
- 'fr###battle.net':80
- 'ex#####ncebattle.net':80
- 'su###rmayor.net':80
- 'cr###mayor.net':80
- 'cr####erfect.net':80
- 'cr###heart.net':80
- 'su####perfect.net':80
- 'wa###heart.net':80
- 'th####tperfect.net':80
- 'th####theart.net':80
- 'su####battle.net':80
- 'cr###battle.net':80
- 'su###rheart.net':80
- 'kn###heart.net':80
- 'be####erfect.net':80
- 'be###heart.net':80
- 'fo####battle.net':80
- 'me####battle.net':80
- 'be###battle.net':80
- 'kn###battle.net':80
- 'kn###mayor.net':80
- 'kn####erfect.net':80
- 'be###mayor.net':80
- 'fr###heart.net':80
- 'su####million.net':80
- 'cr####illion.net':80
- 'cr####leasure.net':80
- 'cr###toward.net':80
- 'su####pleasure.net':80
- 'wa###toward.net':80
- 'th####tpleasure.net':80
- 'th####ttoward.net':80
- 'su###rwhite.net':80
- 'cr###white.net':80
- 'su####toward.net':80
- 'kn###toward.net':80
- 'be####leasure.net':80
- 'be###toward.net':80
- 'fo###wwhite.net':80
- 'me###rwhite.net':80
- 'be###white.net':80
- 'kn###white.net':80
- 'kn####illion.net':80
- 'kn####leasure.net':80
- 'be####illion.net':80
- 'fi###toward.net':80
- 'pa####leasure.net':80
- 'pa###toward.net':80
- 'wo###white.net':80
- 'sm###white.net':80
- 'pa###white.net':80
- 'fi###white.net':80
- 'fi####illion.net':80
- 'fi####leasure.net':80
- 'pa####illion.net':80
- 'sm####illion.net':80
- 'th####twhite.net':80
- 'wa###white.net':80
- 'wa####illion.net':80
- 'wa####leasure.net':80
- 'th####tmillion.net':80
- 'sm####leasure.net':80
- 'wo####illion.net':80
- 'wo####leasure.net':80
- 'wo###toward.net':80
- 'sm###toward.net':80
TCP:
HTTP GET requests:
- al####ybattle.net/index.php?em##########################################
- fo###wheart.net/index.php?em##########################################
- ge####manbattle.net/index.php?em##########################################
- ge####manmayor.net/index.php?em##########################################
- al####ymayor.net/index.php?em##########################################
- fo###wmayor.net/index.php?em##########################################
- me###rmayor.net/index.php?em##########################################
- me####perfect.net/index.php?em##########################################
- me###rheart.net/index.php?em##########################################
- fo####perfect.net/index.php?em##########################################
- al####yperfect.net/index.php?em##########################################
- fr###mayor.net/index.php?em##########################################
- ex####encemayor.net/index.php?em##########################################
- ex#####nceperfect.net/index.php?em##########################################
- ex####enceheart.net/index.php?em##########################################
- fr####erfect.net/index.php?em##########################################
- al####yheart.net/index.php?em##########################################
- ge#####anperfect.net/index.php?em##########################################
- ge####manheart.net/index.php?em##########################################
- fr###battle.net/index.php?em##########################################
- ex#####ncebattle.net/index.php?em##########################################
- su###rmayor.net/index.php?em##########################################
- cr###mayor.net/index.php?em##########################################
- cr####erfect.net/index.php?em##########################################
- cr###heart.net/index.php?em##########################################
- su####perfect.net/index.php?em##########################################
- wa###heart.net/index.php?em##########################################
- th####tperfect.net/index.php?em##########################################
- th####theart.net/index.php?em##########################################
- su####battle.net/index.php?em##########################################
- cr###battle.net/index.php?em##########################################
- su###rheart.net/index.php?em##########################################
- kn###heart.net/index.php?em##########################################
- be####erfect.net/index.php?em##########################################
- be###heart.net/index.php?em##########################################
- fo####battle.net/index.php?em##########################################
- me####battle.net/index.php?em##########################################
- be###battle.net/index.php?em##########################################
- kn###battle.net/index.php?em##########################################
- kn###mayor.net/index.php?em##########################################
- kn####erfect.net/index.php?em##########################################
- be###mayor.net/index.php?em##########################################
- fr###heart.net/index.php?em##########################################
- su####million.net/index.php?em##########################################
- cr####illion.net/index.php?em##########################################
- cr####leasure.net/index.php?em##########################################
- cr###toward.net/index.php?em##########################################
- su####pleasure.net/index.php?em##########################################
- wa###toward.net/index.php?em##########################################
- th####tpleasure.net/index.php?em##########################################
- th####ttoward.net/index.php?em##########################################
- su###rwhite.net/index.php?em##########################################
- cr###white.net/index.php?em##########################################
- su####toward.net/index.php?em##########################################
- kn###toward.net/index.php?em##########################################
- be####leasure.net/index.php?em##########################################
- be###toward.net/index.php?em##########################################
- fo###wwhite.net/index.php?em##########################################
- me###rwhite.net/index.php?em##########################################
- be###white.net/index.php?em##########################################
- kn###white.net/index.php?em##########################################
- kn####illion.net/index.php?em##########################################
- kn####leasure.net/index.php?em##########################################
- be####illion.net/index.php?em##########################################
- fi###toward.net/index.php?em##########################################
- pa####leasure.net/index.php?em##########################################
- pa###toward.net/index.php?em##########################################
- wo###white.net/index.php?em##########################################
- sm###white.net/index.php?em##########################################
- pa###white.net/index.php?em##########################################
- fi###white.net/index.php?em##########################################
- fi####illion.net/index.php?em##########################################
- fi####leasure.net/index.php?em##########################################
- pa####illion.net/index.php?em##########################################
- sm####illion.net/index.php?em##########################################
- th####twhite.net/index.php?em##########################################
- wa###white.net/index.php?em##########################################
- wa####illion.net/index.php?em##########################################
- wa####leasure.net/index.php?em##########################################
- th####tmillion.net/index.php?em##########################################
- sm####leasure.net/index.php?em##########################################
- wo####illion.net/index.php?em##########################################
- wo####leasure.net/index.php?em##########################################
- wo###toward.net/index.php?em##########################################
- sm###toward.net/index.php?em##########################################
UDP:
- DNS ASK al####ybattle.net
- DNS ASK fo###wheart.net
- DNS ASK ge####manbattle.net
- DNS ASK ge####manmayor.net
- DNS ASK al####ymayor.net
- DNS ASK fo###wmayor.net
- DNS ASK me###rmayor.net
- DNS ASK me####perfect.net
- DNS ASK me###rheart.net
- DNS ASK fo####perfect.net
- DNS ASK al####yperfect.net
- DNS ASK fr###mayor.net
- DNS ASK ex####encemayor.net
- DNS ASK ex#####nceperfect.net
- DNS ASK ex####enceheart.net
- DNS ASK fr####erfect.net
- DNS ASK al####yheart.net
- DNS ASK ge#####anperfect.net
- DNS ASK ge####manheart.net
- DNS ASK fr###battle.net
- DNS ASK ex#####ncebattle.net
- DNS ASK su###rmayor.net
- DNS ASK cr###mayor.net
- DNS ASK cr####erfect.net
- DNS ASK cr###heart.net
- DNS ASK su####perfect.net
- DNS ASK wa###heart.net
- DNS ASK th####tperfect.net
- DNS ASK th####theart.net
- DNS ASK su####battle.net
- DNS ASK cr###battle.net
- DNS ASK su###rheart.net
- DNS ASK kn###heart.net
- DNS ASK be####erfect.net
- DNS ASK be###heart.net
- DNS ASK fo####battle.net
- DNS ASK me####battle.net
- DNS ASK be###battle.net
- DNS ASK kn###battle.net
- DNS ASK kn###mayor.net
- DNS ASK kn####erfect.net
- DNS ASK be###mayor.net
- DNS ASK fr###heart.net
- DNS ASK su####million.net
- DNS ASK cr####illion.net
- DNS ASK cr####leasure.net
- DNS ASK cr###toward.net
- DNS ASK su####pleasure.net
- DNS ASK wa###toward.net
- DNS ASK th####tpleasure.net
- DNS ASK th####ttoward.net
- DNS ASK su###rwhite.net
- DNS ASK cr###white.net
- DNS ASK su####toward.net
- DNS ASK kn###toward.net
- DNS ASK be####leasure.net
- DNS ASK be###toward.net
- DNS ASK fo###wwhite.net
- DNS ASK me###rwhite.net
- DNS ASK be###white.net
- DNS ASK kn###white.net
- DNS ASK kn####illion.net
- DNS ASK kn####leasure.net
- DNS ASK be####illion.net
- DNS ASK fi###toward.net
- DNS ASK pa####leasure.net
- DNS ASK pa###toward.net
- DNS ASK wo###white.net
- DNS ASK sm###white.net
- DNS ASK pa###white.net
- DNS ASK fi###white.net
- DNS ASK fi####illion.net
- DNS ASK fi####leasure.net
- DNS ASK pa####illion.net
- DNS ASK sm####illion.net
- DNS ASK th####twhite.net
- DNS ASK wa###white.net
- DNS ASK wa####illion.net
- DNS ASK wa####leasure.net
- DNS ASK th####tmillion.net
- DNS ASK sm####leasure.net
- DNS ASK wo####illion.net
- DNS ASK wo####leasure.net
- DNS ASK wo###toward.net
- DNS ASK sm###toward.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
