Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'gWt' = '<SYSTEM32>\bgcvon.exe'
Malicious functions:
To bypass firewall, removes or modifies the following registry keys:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
To complicate detection of its presence in the operating system,
blocks the following features:
- System File Checker (SFC)
- Windows Security Center
Executes the following:
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
Modifies file system :
Creates the following files:
- <SYSTEM32>\bgcvon.exe
- <Full path to virus>
Modifies the HOSTS file.
Moves itself:
- from <Full path to virus> to %TEMP%\1.tmp
Network activity:
Connects to:
- 'bd####fl.afraid.org':80
- 'ip###bq.hn.org':80
- 'or###ua.yi.org':80
- 'uh####.dynserv.com':80
- 'dg####mepeb.yi.org':80
- 'mf####g.1dumb.com':80
- 'ks####rfpn.3-a.net':80
- 'gy#####fiq.1dumb.com':80
- 'ex####sayqd.yi.org':80
- 'fn####x.1dumb.com':80
- 'ry###zi.3-a.net':80
- 'ts###etw.hn.org':80
- 'ih####yukny.3-a.net':80
- 'pv#####ql.dynserv.com':80
- 'bh#####fy.afraid.org':80
- 'fi####bqzku.hn.org':80
- 'fc####ydw.yi.org':80
- 'dl####.1dumb.com':80
- 'ne####ybbo.3-a.net':80
- 'nt###zi.hn.org':80
- '94.##0.191.201':25
- 'jd####y.dynserv.com':80
- 'wy####ow.afraid.org':80
- 'fz#####yq.dynserv.com':80
- 'im###y.3-a.net':80
- 'jr#####h.dynserv.com':80
- 'yj#####ro.afraid.org':80
- 'qe#####ous.1dumb.com':80
- 'pk#####ca.afraid.org':80
- 'yr###tt.hn.org':80
- 'kp###vde.yi.org':80
TCP:
HTTP GET requests:
- bd####fl.afraid.org/reg?u=##########################################################
- ip###bq.hn.org/reg?u=##########################################################
- or###ua.yi.org/reg?u=##########################################################
- uh####.dynserv.com/reg?u=##########################################################
- dg####mepeb.yi.org/reg?u=##########################################################
- mf####g.1dumb.com/reg?u=##########################################################
- ks####rfpn.3-a.net/reg?u=##########################################################
- gy#####fiq.1dumb.com/reg?u=##########################################################
- ex####sayqd.yi.org/reg?u=##########################################################
- fn####x.1dumb.com/reg?u=##########################################################
- ry###zi.3-a.net/reg?u=##########################################################
- ts###etw.hn.org/reg?u=##########################################################
- ih####yukny.3-a.net/reg?u=##########################################################
- pv#####ql.dynserv.com/reg?u=##########################################################
- bh#####fy.afraid.org/reg?u=##########################################################
- dl####.1dumb.com/reg?u=##########################################################
- ne####ybbo.3-a.net/reg?u=##########################################################
- fz#####yq.dynserv.com/reg?u=##########################################################
- fc####ydw.yi.org/reg?u=##########################################################
- jd####y.dynserv.com/reg?u=##########################################################
- wy####ow.afraid.org/reg?u=##########################################################
- nt###zi.hn.org/reg?u=##########################################################
- pk#####ca.afraid.org/reg?u=##########################################################
- jr#####h.dynserv.com/reg?u=##########################################################
- yj#####ro.afraid.org/reg?u=##########################################################
- fi####bqzku.hn.org/reg?u=##########################################################
- im###y.3-a.net/reg?u=##########################################################
- yr###tt.hn.org/reg?u=##########################################################
- kp###vde.yi.org/reg?u=##########################################################
- qe#####ous.1dumb.com/reg?u=##########################################################
UDP:
- DNS ASK uh####.dynserv.com
- DNS ASK ks####rfpn.3-a.net
- DNS ASK ip###bq.hn.org
- DNS ASK bd####fl.afraid.org
- DNS ASK mf####g.1dumb.com
- DNS ASK yj#####ro.afraid.org
- DNS ASK jr#####h.dynserv.com
- DNS ASK dg####mepeb.yi.org
- DNS ASK fi####bqzku.hn.org
- DNS ASK ex####sayqd.yi.org
- DNS ASK ts###etw.hn.org
- DNS ASK ry###zi.3-a.net
- DNS ASK fn####x.1dumb.com
- DNS ASK bh#####fy.afraid.org
- DNS ASK gy#####fiq.1dumb.com
- DNS ASK or###ua.yi.org
- DNS ASK pv#####ql.dynserv.com
- DNS ASK ih####yukny.3-a.net
- DNS ASK im###y.3-a.net
- DNS ASK mc###i.3-a.net
- DNS ASK ma#####02.mx.aol.com
- DNS ASK wy####ow.afraid.org
- DNS ASK jd####y.dynserv.com
- DNS ASK ma#####04.mx.aol.com
- DNS ASK yu####z.1dumb.com
- DNS ASK mx#.mail.ru
- DNS ASK mx#.#otmail.com
- DNS ASK ma##.#arthlink.net
- DNS ASK yr###tt.hn.org
- DNS ASK pk#####ca.afraid.org
- DNS ASK qe#####ous.1dumb.com
- DNS ASK kp###vde.yi.org
- DNS ASK fz#####yq.dynserv.com
- DNS ASK fc####ydw.yi.org
- DNS ASK nt###zi.hn.org
- DNS ASK ne####ybbo.3-a.net
- DNS ASK dl####.1dumb.com
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
