Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Control IP NGEN Ordering Color Identity Health' = '%APPDATA%\hfjjrsrhpquuo\fygsovzgoi.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\hfjjrsrhpquuo\lrnjakig.exe' "%APPDATA%\hfjjrsrhpquuo\fygsovzgoi.exe"
- '%APPDATA%\hfjjrsrhpquuo\fygsovzgoi.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\hfjjrsrhpquuo\fygsovzgoi.we
- %APPDATA%\hfjjrsrhpquuo\lrnjakig.exe
- %APPDATA%\hfjjrsrhpquuo\fygsovzgoi.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\hfjjrsrhpquuo\fygsovzgoi.exe
Network activity:
Connects to:
- 'li####station.net':80
- 'de####ythird.net':80
- 'hu#####childhood.net':80
- 'de####ystation.net':80
- 'li####object.net':80
- 'de#####childhood.net':80
- 'li###ethird.net':80
- 'de####yobject.net':80
- 'hu####dstation.net':80
- 'jo####ythird.net':80
- 're####ershout.net':80
- 'jo####ystation.net':80
- 'hu####dobject.net':80
- 'jo#####childhood.net':80
- 'hu####dthird.net':80
- 'jo####yobject.net':80
- 'th####tation.net':80
- 'ch###third.net':80
- 'be####childhood.net':80
- 'ch####tation.net':80
- 'th###object.net':80
- 'ch####hildhood.net':80
- 'th###third.net':80
- 'ch###object.net':80
- 'be####station.net':80
- 'ri###nthird.net':80
- 'li####childhood.net':80
- 'ri####station.net':80
- 'be####object.net':80
- 'ri####childhood.net':80
- 'be###gthird.net':80
- 'ri####object.net':80
- 'wo###shout.net':80
- 'ef###tbring.net':80
- 'th####hbring.net':80
- 'wi###nshout.net':80
- 'su###rshout.net':80
- 'ef####demand.net':80
- 'th####hdemand.net':80
- 'ef####listen.net':80
- 'th####hlisten.net':80
- 'wi###nbring.net':80
- 'su###rbring.net':80
- 'ch###shout.net':80
- 'th###shout.net':80
- 'wi####demand.net':80
- 'su####demand.net':80
- 'wi####listen.net':80
- 'su####listen.net':80
- 'wo###bring.net':80
- 're####erbring.net':80
- 'fo###tshout.net':80
- 'in####seshout.net':80
- 'wo###demand.net':80
- 're####erdemand.net':80
- 'wo###listen.net':80
- 're####erlisten.net':80
- 'fo###tbring.net':80
- 'in####sebring.net':80
- 'ef###tshout.net':80
- 'th####hshout.net':80
- 'fo####demand.net':80
- 'in####sedemand.net':80
- 'fo####listen.net':80
- 'in####selisten.net':80
TCP:
HTTP GET requests:
- http://li####station.net/index.php?em#######################################
- http://de####ythird.net/index.php?em#######################################
- http://hu#####childhood.net/index.php?em#######################################
- http://de####ystation.net/index.php?em#######################################
- http://li####object.net/index.php?em#######################################
- http://de#####childhood.net/index.php?em#######################################
- http://li###ethird.net/index.php?em#######################################
- http://de####yobject.net/index.php?em#######################################
- http://hu####dstation.net/index.php?em#######################################
- http://jo####ythird.net/index.php?em#######################################
- http://re####ershout.net/index.php?em#######################################
- http://jo####ystation.net/index.php?em#######################################
- http://hu####dobject.net/index.php?em#######################################
- http://jo#####childhood.net/index.php?em#######################################
- http://hu####dthird.net/index.php?em#######################################
- http://jo####yobject.net/index.php?em#######################################
- http://th####tation.net/index.php?em#######################################
- http://ch###third.net/index.php?em#######################################
- http://be####childhood.net/index.php?em#######################################
- http://ch####tation.net/index.php?em#######################################
- http://th###object.net/index.php?em#######################################
- http://ch####hildhood.net/index.php?em#######################################
- http://th###third.net/index.php?em#######################################
- http://ch###object.net/index.php?em#######################################
- http://be####station.net/index.php?em#######################################
- http://ri###nthird.net/index.php?em#######################################
- http://li####childhood.net/index.php?em#######################################
- http://ri####station.net/index.php?em#######################################
- http://be####object.net/index.php?em#######################################
- http://ri####childhood.net/index.php?em#######################################
- http://be###gthird.net/index.php?em#######################################
- http://ri####object.net/index.php?em#######################################
- http://wo###shout.net/index.php?em#######################################
- http://ef###tbring.net/index.php?em#######################################
- http://th####hbring.net/index.php?em#######################################
- http://wi###nshout.net/index.php?em#######################################
- http://su###rshout.net/index.php?em#######################################
- http://ef####demand.net/index.php?em#######################################
- http://th####hdemand.net/index.php?em#######################################
- http://ef####listen.net/index.php?em#######################################
- http://th####hlisten.net/index.php?em#######################################
- http://wi###nbring.net/index.php?em#######################################
- http://su###rbring.net/index.php?em#######################################
- http://ch###shout.net/index.php?em#######################################
- http://th###shout.net/index.php?em#######################################
- http://wi####demand.net/index.php?em#######################################
- http://su####demand.net/index.php?em#######################################
- http://wi####listen.net/index.php?em#######################################
- http://su####listen.net/index.php?em#######################################
- http://wo###bring.net/index.php?em#######################################
- http://re####erbring.net/index.php?em#######################################
- http://fo###tshout.net/index.php?em#######################################
- http://in####seshout.net/index.php?em#######################################
- http://wo###demand.net/index.php?em#######################################
- http://re####erdemand.net/index.php?em#######################################
- http://wo###listen.net/index.php?em#######################################
- http://re####erlisten.net/index.php?em#######################################
- http://fo###tbring.net/index.php?em#######################################
- http://in####sebring.net/index.php?em#######################################
- http://ef###tshout.net/index.php?em#######################################
- http://th####hshout.net/index.php?em#######################################
- http://fo####demand.net/index.php?em#######################################
- http://in####sedemand.net/index.php?em#######################################
- http://fo####listen.net/index.php?em#######################################
- http://in####selisten.net/index.php?em#######################################
UDP:
- DNS ASK li####station.net
- DNS ASK de####ythird.net
- DNS ASK hu#####childhood.net
- DNS ASK de####ystation.net
- DNS ASK li####object.net
- DNS ASK de#####childhood.net
- DNS ASK li###ethird.net
- DNS ASK de####yobject.net
- DNS ASK hu####dstation.net
- DNS ASK jo####ythird.net
- DNS ASK re####ershout.net
- DNS ASK jo####ystation.net
- DNS ASK hu####dobject.net
- DNS ASK jo#####childhood.net
- DNS ASK hu####dthird.net
- DNS ASK jo####yobject.net
- DNS ASK th####tation.net
- DNS ASK ch###third.net
- DNS ASK be####childhood.net
- DNS ASK ch####tation.net
- DNS ASK th###object.net
- DNS ASK ch####hildhood.net
- DNS ASK th###third.net
- DNS ASK ch###object.net
- DNS ASK be####station.net
- DNS ASK ri###nthird.net
- DNS ASK li####childhood.net
- DNS ASK ri####station.net
- DNS ASK be####object.net
- DNS ASK ri####childhood.net
- DNS ASK be###gthird.net
- DNS ASK ri####object.net
- DNS ASK wo###shout.net
- DNS ASK ef###tbring.net
- DNS ASK th####hbring.net
- DNS ASK wi###nshout.net
- DNS ASK su###rshout.net
- DNS ASK ef####demand.net
- DNS ASK th####hdemand.net
- DNS ASK ef####listen.net
- DNS ASK th####hlisten.net
- DNS ASK wi###nbring.net
- DNS ASK su###rbring.net
- DNS ASK ch###shout.net
- DNS ASK th###shout.net
- DNS ASK wi####demand.net
- DNS ASK su####demand.net
- DNS ASK wi####listen.net
- DNS ASK su####listen.net
- DNS ASK wo###bring.net
- DNS ASK re####erbring.net
- DNS ASK fo###tshout.net
- DNS ASK in####seshout.net
- DNS ASK wo###demand.net
- DNS ASK re####erdemand.net
- DNS ASK wo###listen.net
- DNS ASK re####erlisten.net
- DNS ASK fo###tbring.net
- DNS ASK in####sebring.net
- DNS ASK ef###tshout.net
- DNS ASK th####hshout.net
- DNS ASK fo####demand.net
- DNS ASK in####sedemand.net
- DNS ASK fo####listen.net
- DNS ASK in####selisten.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
