Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'PnP-X Service Protocol DCOM Interface' = '%APPDATA%\zuxsrfkvtyaawvd\nehyvdyliw.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\zuxsrfkvtyaawvd\kjdkptxxec.exe' "%APPDATA%\zuxsrfkvtyaawvd\nehyvdyliw.exe"
- '%APPDATA%\zuxsrfkvtyaawvd\nehyvdyliw.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\zuxsrfkvtyaawvd\nehyvdyliw.ljzp
- %APPDATA%\zuxsrfkvtyaawvd\kjdkptxxec.exe
- %APPDATA%\zuxsrfkvtyaawvd\nehyvdyliw.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\zuxsrfkvtyaawvd\nehyvdyliw.exe
Deletes the following files:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Network activity:
Connects to:
- 'ou####etwenty.net':80
- 'mo#####tunderstood.net':80
- 'ou#####understood.net':80
- 'mo####nttwenty.net':80
- 'ou####echance.net':80
- 'mo####ntmeeting.net':80
- 'ou####emeeting.net':80
- 'bu####ngchance.net':80
- 'ev####gtwenty.net':80
- 'bu#####gunderstood.net':80
- 'ev#####understood.net':80
- 'bu####ngtwenty.net':80
- 'ev####gchance.net':80
- 'bu####ngmeeting.net':80
- 'ev####gmeeting.net':80
- 'mo####ntchance.net':80
- 'de####orderly.net':80
- 'pr####evalue.net':80
- 'de###evalue.net':80
- 'pr####eorderly.net':80
- 'de####almost.net':80
- 'pr####ereason.net':80
- 'de####reason.net':80
- 'st####thalmost.net':80
- 'st####rderly.net':80
- 'st####thvalue.net':80
- 'st###value.net':80
- 'st####thorderly.net':80
- 'st###almost.net':80
- 'st####threason.net':80
- 'st###reason.net':80
TCP:
HTTP GET requests:
- ou####etwenty.net/index.php?em############################################
- mo#####tunderstood.net/index.php?em############################################
- ou#####understood.net/index.php?em############################################
- mo####nttwenty.net/index.php?em############################################
- ou####echance.net/index.php?em############################################
- mo####ntmeeting.net/index.php?em############################################
- ou####emeeting.net/index.php?em############################################
- bu####ngchance.net/index.php?em############################################
- ev####gtwenty.net/index.php?em############################################
- bu#####gunderstood.net/index.php?em############################################
- ev#####understood.net/index.php?em############################################
- bu####ngtwenty.net/index.php?em############################################
- ev####gchance.net/index.php?em############################################
- bu####ngmeeting.net/index.php?em############################################
- ev####gmeeting.net/index.php?em############################################
- mo####ntchance.net/index.php?em############################################
- de####orderly.net/index.php?em############################################
- pr####evalue.net/index.php?em############################################
- de###evalue.net/index.php?em############################################
- pr####eorderly.net/index.php?em############################################
- de####almost.net/index.php?em############################################
- pr####ereason.net/index.php?em############################################
- de####reason.net/index.php?em############################################
- st####thalmost.net/index.php?em############################################
- st####rderly.net/index.php?em############################################
- st####thvalue.net/index.php?em############################################
- st###value.net/index.php?em############################################
- st####thorderly.net/index.php?em############################################
- st###almost.net/index.php?em############################################
- st####threason.net/index.php?em############################################
- st###reason.net/index.php?em############################################
UDP:
- DNS ASK mo#####tunderstood.net
- DNS ASK ou####etwenty.net
- DNS ASK bu####ngchance.net
- DNS ASK ou#####understood.net
- DNS ASK mo####ntmeeting.net
- DNS ASK ou####echance.net
- DNS ASK mo####nttwenty.net
- DNS ASK ou####emeeting.net
- DNS ASK bu#####gunderstood.net
- DNS ASK ev####gtwenty.net
- DNS ASK st###chance.net
- DNS ASK ev#####understood.net
- DNS ASK bu####ngmeeting.net
- DNS ASK ev####gchance.net
- DNS ASK bu####ngtwenty.net
- DNS ASK ev####gmeeting.net
- DNS ASK pr####evalue.net
- DNS ASK de####orderly.net
- DNS ASK st####thalmost.net
- DNS ASK de###evalue.net
- DNS ASK pr####ereason.net
- DNS ASK de####almost.net
- DNS ASK pr####eorderly.net
- DNS ASK de####reason.net
- DNS ASK st####thvalue.net
- DNS ASK st####rderly.net
- DNS ASK mo####ntchance.net
- DNS ASK st###value.net
- DNS ASK st####threason.net
- DNS ASK st###almost.net
- DNS ASK st####thorderly.net
- DNS ASK st###reason.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
