Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Manager Defragmenter Spooler' = '<SYSTEM32>\josfpmapsgos.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Agent Certificate Topology Interface Launcher] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\fneohcgotal.exe' "<SYSTEM32>\josfpmapsgos.exe"
- '%WINDIR%\Temp\mytyay3saocmzd.exe' -r 20716 tcp
- '%TEMP%\mytyay3lhgcmzdfdtgvjj.exe'
- '<SYSTEM32>\josfpmapsgos.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\fvejlkzmanl\run
- <SYSTEM32>\fvejlkzmanl\rng
- <SYSTEM32>\fvejlkzmanl\cfg
- <SYSTEM32>\fvejlkzmanl\por
- %WINDIR%\Temp\mytyay3saocmzd.exe
- %TEMP%\mytyay3lhgcmzdfdtgvjj.exe
- <SYSTEM32>\fvejlkzmanl\tst
- <SYSTEM32>\fvejlkzmanl\etc
- <SYSTEM32>\fneohcgotal.exe
- <SYSTEM32>\josfpmapsgos.exe
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\fneohcgotal.exe
- <SYSTEM32>\josfpmapsgos.exe
Deletes the following files:
- %WINDIR%\Temp\mytyay3saocmzd.exe
- %TEMP%\mytyay3lhgcmzdfdtgvjj.exe
Network activity:
Connects to:
- 'ma###pril.net':80
- 'wr###army.net':80
- 'ma###rmy.net':80
- 'wr###gray.net':80
- 'ma###ray.net':80
- 'wr###april.net':80
- 'ha###ncle.net':80
- 'hu###study.net':80
- 'ha###tudy.net':80
- 'wr###edge.net':80
- 'ma###dge.net':80
- 'hu###uncle.net':80
- 'wi###dge.net':80
- 'de###ray.net':80
- 'ro###ray.net':80
- 'jo###rmy.net':80
- 'wi###rmy.net':80
- 'jo###dge.net':80
- 'ro###rmy.net':80
- 'de###dge.net':80
- 'ro###dge.net':80
- 'de###pril.net':80
- 'ro###pril.net':80
- 'de###rmy.net':80
- 'sp###study.net':80
- 'we###oss.net':80
- 'sp###loss.net':80
- 'we###ncle.net':80
- 'sp###uncle.net':80
- 'we###tudy.net':80
- 'of###uncle.net':80
- 'fr###study.net':80
- 'of###study.net':80
- 'we###nce.net':80
- 'sp###once.net':80
- 'fr###uncle.net':80
- 'ha###nce.net':80
- 'ya###ncle.net':80
- 'mu###uncle.net':80
- 'hu###loss.net':80
- 'ha###oss.net':80
- 'hu###once.net':80
- 'mu###loss.net':80
- 'ya###nce.net':80
- 'mu###once.net':80
- 'ya###tudy.net':80
- 'mu###study.net':80
- 'ya###oss.net':80
- 'wi###pril.net':80
- 'mu###gray.net':80
- 'ya###pril.net':80
- 'mu###april.net':80
- 'mo###ray.net':80
- 'ha###dge.net':80
- 'ya###ray.net':80
- 'mu###edge.net':80
- 'we###ray.net':80
- 'sp###gray.net':80
- 'ya###rmy.net':80
- 'mu###army.net':80
- 'ya###dge.net':80
- 'th###rrefk.com':80
- 'ta###wash.net':80
- 'sa###ave.net':80
- 'el#####arimagine.com':80
- 'mo###uia.com':80
- 'pe###hecon.com':80
- 'li###hot.net':80
- 'ab###ach.net':80
- 'ju###ray.net':80
- 'yo###njoy.net':80
- 'lo###oss.net':80
- 'so###about.net':80
- 'se####bergray.net':80
- 'ha###pril.net':80
- 'se####berapril.net':80
- 'fr###edge.net':80
- 'of###edge.net':80
- 'ha###ray.net':80
- 'jo###ray.net':80
- 'wi###ray.net':80
- 'jo###pril.net':80
- 'ha###rmy.net':80
- 'se####berarmy.net':80
- 'se####beredge.net':80
- 'sp###army.net':80
- 'we###dge.net':80
- 'sp###edge.net':80
- 'we###pril.net':80
- 'sp###april.net':80
- 'we###rmy.net':80
- 'of###april.net':80
- 'fr###army.net':80
- 'of###army.net':80
- 'fr###gray.net':80
- 'of###gray.net':80
- 'fr###april.net':80
TCP:
HTTP GET requests:
- ma###pril.net/forum/search.php?me#########################################
- wr###army.net/forum/search.php?me#########################################
- ma###rmy.net/forum/search.php?me#########################################
- wr###gray.net/forum/search.php?me#########################################
- ma###ray.net/forum/search.php?me#########################################
- wr###april.net/forum/search.php?me#########################################
- ha###ncle.net/forum/search.php?me#########################################
- hu###study.net/forum/search.php?me#########################################
- ha###tudy.net/forum/search.php?me#########################################
- wr###edge.net/forum/search.php?me#########################################
- ma###dge.net/forum/search.php?me#########################################
- hu###uncle.net/forum/search.php?me#########################################
- wi###dge.net/forum/search.php?me#########################################
- de###ray.net/forum/search.php?me#########################################
- ro###ray.net/forum/search.php?me#########################################
- jo###rmy.net/forum/search.php?me#########################################
- wi###rmy.net/forum/search.php?me#########################################
- jo###dge.net/forum/search.php?me#########################################
- ro###rmy.net/forum/search.php?me#########################################
- de###dge.net/forum/search.php?me#########################################
- ro###dge.net/forum/search.php?me#########################################
- de###pril.net/forum/search.php?me#########################################
- ro###pril.net/forum/search.php?me#########################################
- de###rmy.net/forum/search.php?me#########################################
- sp###study.net/forum/search.php?me#########################################
- we###oss.net/forum/search.php?me#########################################
- sp###loss.net/forum/search.php?me#########################################
- we###ncle.net/forum/search.php?me#########################################
- sp###uncle.net/forum/search.php?me#########################################
- we###tudy.net/forum/search.php?me#########################################
- of###uncle.net/forum/search.php?me#########################################
- fr###study.net/forum/search.php?me#########################################
- of###study.net/forum/search.php?me#########################################
- we###nce.net/forum/search.php?me#########################################
- sp###once.net/forum/search.php?me#########################################
- fr###uncle.net/forum/search.php?me#########################################
- ha###nce.net/forum/search.php?me#########################################
- ya###ncle.net/forum/search.php?me#########################################
- mu###uncle.net/forum/search.php?me#########################################
- hu###loss.net/forum/search.php?me#########################################
- ha###oss.net/forum/search.php?me#########################################
- hu###once.net/forum/search.php?me#########################################
- mu###loss.net/forum/search.php?me#########################################
- ya###nce.net/forum/search.php?me#########################################
- mu###once.net/forum/search.php?me#########################################
- ya###tudy.net/forum/search.php?me#########################################
- mu###study.net/forum/search.php?me#########################################
- ya###oss.net/forum/search.php?me#########################################
- wi###pril.net/forum/search.php?me#########################################
- mu###gray.net/forum/search.php?me#########################################
- ya###pril.net/forum/search.php?me#########################################
- mu###april.net/forum/search.php?me#########################################
- mo###ray.net/forum/search.php?me#########################################
- ha###dge.net/forum/search.php?me#########################################
- ya###ray.net/forum/search.php?me#########################################
- mu###edge.net/forum/search.php?me#########################################
- we###ray.net/forum/search.php?me#########################################
- sp###gray.net/forum/search.php?me#########################################
- ya###rmy.net/forum/search.php?me#########################################
- mu###army.net/forum/search.php?me#########################################
- ya###dge.net/forum/search.php?me#########################################
- th###rrefk.com/forum/search.php?me#########################################
- ta###wash.net/forum/search.php?me#########################################
- sa###ave.net/forum/search.php?me#########################################
- el#####arimagine.com/forum/search.php?me#########################################
- mo###uia.com/forum/search.php?me#########################################
- pe###hecon.com/forum/search.php?me#########################################
- li###hot.net/forum/search.php?me#########################################
- ab###ach.net/forum/search.php?me#########################################
- ju###ray.net/forum/search.php?me#########################################
- yo###njoy.net/forum/search.php?me#########################################
- lo###oss.net/forum/search.php?me#########################################
- so###about.net/forum/search.php?me#########################################
- se####bergray.net/forum/search.php?me#########################################
- ha###pril.net/forum/search.php?me#########################################
- se####berapril.net/forum/search.php?me#########################################
- fr###edge.net/forum/search.php?me#########################################
- of###edge.net/forum/search.php?me#########################################
- ha###ray.net/forum/search.php?me#########################################
- jo###ray.net/forum/search.php?me#########################################
- wi###ray.net/forum/search.php?me#########################################
- jo###pril.net/forum/search.php?me#########################################
- ha###rmy.net/forum/search.php?me#########################################
- se####berarmy.net/forum/search.php?me#########################################
- se####beredge.net/forum/search.php?me#########################################
- sp###army.net/forum/search.php?me#########################################
- we###dge.net/forum/search.php?me#########################################
- sp###edge.net/forum/search.php?me#########################################
- we###pril.net/forum/search.php?me#########################################
- sp###april.net/forum/search.php?me#########################################
- we###rmy.net/forum/search.php?me#########################################
- of###april.net/forum/search.php?me#########################################
- fr###army.net/forum/search.php?me#########################################
- of###army.net/forum/search.php?me#########################################
- fr###gray.net/forum/search.php?me#########################################
- of###gray.net/forum/search.php?me#########################################
- fr###april.net/forum/search.php?me#########################################
UDP:
- DNS ASK wr###april.net
- DNS ASK ma###pril.net
- DNS ASK wr###army.net
- DNS ASK ro###dge.net
- DNS ASK wr###gray.net
- DNS ASK ma###ray.net
- DNS ASK hu###uncle.net
- DNS ASK ha###ncle.net
- DNS ASK hu###study.net
- DNS ASK ma###rmy.net
- DNS ASK wr###edge.net
- DNS ASK ma###dge.net
- DNS ASK jo###dge.net
- DNS ASK wi###dge.net
- DNS ASK de###ray.net
- DNS ASK wi###pril.net
- DNS ASK jo###rmy.net
- DNS ASK wi###rmy.net
- DNS ASK de###rmy.net
- DNS ASK ro###rmy.net
- DNS ASK de###dge.net
- DNS ASK ro###ray.net
- DNS ASK de###pril.net
- DNS ASK ro###pril.net
- DNS ASK ha###tudy.net
- DNS ASK sp###study.net
- DNS ASK we###oss.net
- DNS ASK sp###loss.net
- DNS ASK we###ncle.net
- DNS ASK sp###uncle.net
- DNS ASK we###tudy.net
- DNS ASK of###uncle.net
- DNS ASK fr###study.net
- DNS ASK of###study.net
- DNS ASK we###nce.net
- DNS ASK sp###once.net
- DNS ASK fr###uncle.net
- DNS ASK ha###nce.net
- DNS ASK ya###ncle.net
- DNS ASK mu###uncle.net
- DNS ASK hu###loss.net
- DNS ASK ha###oss.net
- DNS ASK hu###once.net
- DNS ASK mu###loss.net
- DNS ASK ya###nce.net
- DNS ASK mu###once.net
- DNS ASK ya###tudy.net
- DNS ASK mu###study.net
- DNS ASK ya###oss.net
- DNS ASK mu###gray.net
- DNS ASK ya###pril.net
- DNS ASK mu###april.net
- DNS ASK mo###ray.net
- DNS ASK ha###dge.net
- DNS ASK ya###ray.net
- DNS ASK mu###edge.net
- DNS ASK we###ray.net
- DNS ASK sp###gray.net
- DNS ASK ya###rmy.net
- DNS ASK mu###army.net
- DNS ASK ya###dge.net
- DNS ASK th###rrefk.com
- DNS ASK ta###wash.net
- DNS ASK sa###ave.net
- DNS ASK el#####arimagine.com
- DNS ASK mo###uia.com
- DNS ASK pe###hecon.com
- DNS ASK li###hot.net
- DNS ASK ab###ach.net
- DNS ASK ju###ray.net
- DNS ASK yo###njoy.net
- DNS ASK lo###oss.net
- DNS ASK so###about.net
- DNS ASK se####bergray.net
- DNS ASK ha###pril.net
- DNS ASK se####berapril.net
- DNS ASK fr###edge.net
- DNS ASK of###edge.net
- DNS ASK ha###ray.net
- DNS ASK jo###ray.net
- DNS ASK wi###ray.net
- DNS ASK jo###pril.net
- DNS ASK ha###rmy.net
- DNS ASK se####berarmy.net
- DNS ASK se####beredge.net
- DNS ASK sp###army.net
- DNS ASK we###dge.net
- DNS ASK sp###edge.net
- DNS ASK we###pril.net
- DNS ASK sp###april.net
- DNS ASK we###rmy.net
- DNS ASK of###april.net
- DNS ASK fr###army.net
- DNS ASK of###army.net
- DNS ASK fr###gray.net
- DNS ASK of###gray.net
- DNS ASK fr###april.net
- '23#.#55.255.250':1900
