Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Enumerator Auto-Discovery Certificate' = '<SYSTEM32>\aqbokec.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Removal Thread System Event Base] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\buvgcpatavp.exe' "<SYSTEM32>\aqbokec.exe"
- '%WINDIR%\Temp\nczncudt2osdfa6.exe' -r 45454 tcp
- '%TEMP%\nczncudt2luwfa6oqpxyvsc.exe'
- '<SYSTEM32>\aqbokec.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\qllacfbianmff\run
- <SYSTEM32>\qllacfbianmff\rng
- %WINDIR%\Temp\nczncudt2osdfa6.exe
- <SYSTEM32>\qllacfbianmff\cfg
- <SYSTEM32>\buvgcpatavp.exe
- %TEMP%\nczncudt2luwfa6oqpxyvsc.exe
- <SYSTEM32>\qllacfbianmff\tst
- <SYSTEM32>\aqbokec.exe
- <SYSTEM32>\qllacfbianmff\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\buvgcpatavp.exe
- <SYSTEM32>\aqbokec.exe
Deletes the following files:
- %WINDIR%\Temp\nczncudt2osdfa6.exe
- %TEMP%\nczncudt2luwfa6oqpxyvsc.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'mi###ack.net':80
- 'tr###back.net':80
- 'mi###hot.net':80
- 'tr###shot.net':80
- 'wi###ure.net':80
- 'du###ause.net':80
- 'wi###hot.net':80
- 'du###ure.net':80
- 'wi###ause.net':80
- 'tr###cause.net':80
- 'cl###talk.net':80
- 'da###alk.net':80
- 'cl###below.net':80
- 'da###elow.net':80
- 'cl###shirt.net':80
- 'tr###sure.net':80
- 'mi###ause.net':80
- 'da###hirt.net':80
- 'mi###ure.net':80
- 'du###hot.net':80
- 'ca###ause.net':80
- 'he###ause.net':80
- 'ca###ure.net':80
- 'he###ure.net':80
- 'ca###hot.net':80
- 'he###ack.net':80
- 'qu###sure.net':80
- 'he###hot.net':80
- 'ca###ack.net':80
- 'si###back.net':80
- 'th###sure.net':80
- 'si###sure.net':80
- 'wi###ack.net':80
- 'du###ack.net':80
- 'th###cause.net':80
- 'si###shot.net':80
- 'th###back.net':80
- 'si###cause.net':80
- 'th###shot.net':80
- 'da###ash.net':80
- 'ca###hirt.net':80
- 'he###hirt.net':80
- 'na###eep.com':80
- 'it###need.com':80
- 'qu###wash.net':80
- 'th###elow.net':80
- 'qu###talk.net':80
- 'th###ash.net':80
- 'qu###below.net':80
- 'eg###aker.com':80
- 'lo###old.net':80
- 'na###here.net':80
- 'ab###ead.net':80
- 'fe###tate.net':80
- 'fr###yloss.net':80
- 'hi###ance.net':80
- 'th###only.net':80
- 'gr###grain.net':80
- 'wr###below.net':80
- 'th###alk.net':80
- 'me###elow.net':80
- 'si###elow.net':80
- 'me###ash.net':80
- 'si###ash.net':80
- 'me###alk.net':80
- 'si###hirt.net':80
- 'cl###wash.net':80
- 'si###alk.net':80
- 'me###hirt.net':80
- 'mo###hirt.net':80
- 'su###ywash.net':80
- 'mo###ash.net':80
- 'qu###shirt.net':80
- 'th###hirt.net':80
- 'su###ybelow.net':80
- 'mo###alk.net':80
- 'su###yshirt.net':80
- 'mo###elow.net':80
- 'su###ytalk.net':80
TCP:
HTTP GET requests:
- http://mi###ack.net/index.php?me################################################
- http://tr###back.net/index.php?me################################################
- http://mi###hot.net/index.php?me################################################
- http://tr###shot.net/index.php?me################################################
- http://wi###ure.net/index.php?me################################################
- http://du###ause.net/index.php?me################################################
- http://wi###hot.net/index.php?me################################################
- http://du###ure.net/index.php?me################################################
- http://wi###ause.net/index.php?me################################################
- http://tr###cause.net/index.php?me################################################
- http://cl###talk.net/index.php?me################################################
- http://da###alk.net/index.php?me################################################
- http://cl###below.net/index.php?me################################################
- http://da###elow.net/index.php?me################################################
- http://cl###shirt.net/index.php?me################################################
- http://tr###sure.net/index.php?me################################################
- http://mi###ause.net/index.php?me################################################
- http://da###hirt.net/index.php?me################################################
- http://mi###ure.net/index.php?me################################################
- http://du###hot.net/index.php?me################################################
- http://ca###ause.net/index.php?me################################################
- http://he###ause.net/index.php?me################################################
- http://ca###ure.net/index.php?me################################################
- http://he###ure.net/index.php?me################################################
- http://ca###hot.net/index.php?me################################################
- http://he###ack.net/index.php?me################################################
- http://qu###sure.net/index.php?me################################################
- http://he###hot.net/index.php?me################################################
- http://ca###ack.net/index.php?me################################################
- http://si###back.net/index.php?me################################################
- http://th###sure.net/index.php?me################################################
- http://si###sure.net/index.php?me################################################
- http://wi###ack.net/index.php?me################################################
- http://du###ack.net/index.php?me################################################
- http://th###cause.net/index.php?me################################################
- http://si###shot.net/index.php?me################################################
- http://th###back.net/index.php?me################################################
- http://si###cause.net/index.php?me################################################
- http://th###shot.net/index.php?me################################################
- http://da###ash.net/index.php?me################################################
- http://ca###hirt.net/index.php?me################################################
- http://he###hirt.net/index.php?me################################################
- http://na###eep.com/index.php?me################################################
- http://it###need.com/index.php?me################################################
- http://qu###wash.net/index.php?me################################################
- http://th###elow.net/index.php?me################################################
- http://qu###talk.net/index.php?me################################################
- http://th###ash.net/index.php?me################################################
- http://qu###below.net/index.php?me################################################
- http://eg###aker.com/index.php?me################################################
- http://lo###old.net/index.php?me################################################
- http://na###here.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://fr###yloss.net/index.php?me################################################
- http://hi###ance.net/index.php?me################################################
- http://th###only.net/index.php?me################################################
- http://gr###grain.net/index.php?me################################################
- http://wr###below.net/index.php?me################################################
- http://th###alk.net/index.php?me################################################
- http://me###elow.net/index.php?me################################################
- http://si###elow.net/index.php?me################################################
- http://me###ash.net/index.php?me################################################
- http://si###ash.net/index.php?me################################################
- http://me###alk.net/index.php?me################################################
- http://si###hirt.net/index.php?me################################################
- http://cl###wash.net/index.php?me################################################
- http://si###alk.net/index.php?me################################################
- http://me###hirt.net/index.php?me################################################
- http://mo###hirt.net/index.php?me################################################
- http://su###ywash.net/index.php?me################################################
- http://mo###ash.net/index.php?me################################################
- http://qu###shirt.net/index.php?me################################################
- http://th###hirt.net/index.php?me################################################
- http://su###ybelow.net/index.php?me################################################
- http://mo###alk.net/index.php?me################################################
- http://su###yshirt.net/index.php?me################################################
- http://mo###elow.net/index.php?me################################################
- http://su###ytalk.net/index.php?me################################################
UDP:
- DNS ASK tr###back.net
- DNS ASK wi###ure.net
- DNS ASK mi###ack.net
- DNS ASK mi###hot.net
- DNS ASK tr###shot.net
- DNS ASK wi###hot.net
- DNS ASK du###hot.net
- DNS ASK du###ause.net
- DNS ASK du###ure.net
- DNS ASK wi###ause.net
- DNS ASK da###alk.net
- DNS ASK cl###shirt.net
- DNS ASK cl###talk.net
- DNS ASK cl###below.net
- DNS ASK da###elow.net
- DNS ASK mi###ause.net
- DNS ASK tr###cause.net
- DNS ASK tr###sure.net
- DNS ASK da###hirt.net
- DNS ASK mi###ure.net
- DNS ASK he###ause.net
- DNS ASK ca###hot.net
- DNS ASK ca###ause.net
- DNS ASK ca###ure.net
- DNS ASK he###ure.net
- DNS ASK qu###sure.net
- DNS ASK th###ure.net
- DNS ASK he###ack.net
- DNS ASK he###hot.net
- DNS ASK ca###ack.net
- DNS ASK si###sure.net
- DNS ASK th###cause.net
- DNS ASK th###sure.net
- DNS ASK wi###ack.net
- DNS ASK du###ack.net
- DNS ASK th###back.net
- DNS ASK si###back.net
- DNS ASK si###shot.net
- DNS ASK si###cause.net
- DNS ASK th###shot.net
- DNS ASK da###ash.net
- DNS ASK ca###hirt.net
- DNS ASK he###hirt.net
- DNS ASK na###eep.com
- DNS ASK it###need.com
- DNS ASK qu###wash.net
- DNS ASK th###elow.net
- DNS ASK qu###talk.net
- DNS ASK th###ash.net
- DNS ASK qu###below.net
- DNS ASK eg###aker.com
- DNS ASK lo###old.net
- DNS ASK na###here.net
- DNS ASK ab###ead.net
- DNS ASK fe###tate.net
- DNS ASK fr###yloss.net
- DNS ASK hi###ance.net
- DNS ASK th###only.net
- DNS ASK gr###grain.net
- DNS ASK wr###below.net
- DNS ASK th###alk.net
- DNS ASK me###elow.net
- DNS ASK si###elow.net
- DNS ASK me###ash.net
- DNS ASK si###ash.net
- DNS ASK me###alk.net
- DNS ASK si###hirt.net
- DNS ASK cl###wash.net
- DNS ASK si###alk.net
- DNS ASK me###hirt.net
- DNS ASK mo###hirt.net
- DNS ASK su###ywash.net
- DNS ASK mo###ash.net
- DNS ASK qu###shirt.net
- DNS ASK th###hirt.net
- DNS ASK su###ybelow.net
- DNS ASK mo###alk.net
- DNS ASK su###yshirt.net
- DNS ASK mo###elow.net
- DNS ASK su###ytalk.net
- '23#.#55.255.250':1900
