Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'COM SSDP BitLocker Session Topology Helper' = '%APPDATA%\pmonlgaertpu\mtlskdxearx.exe'
Malicious functions:
Executes the following:
- '%APPDATA%\pmonlgaertpu\lnfzqrsibqlj.exe' "%APPDATA%\pmonlgaertpu\mtlskdxearx.exe"
- '%APPDATA%\pmonlgaertpu\mtlskdxearx.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\pmonlgaertpu\mtlskdxearx.vzskj
- %APPDATA%\pmonlgaertpu\lnfzqrsibqlj.exe
- %APPDATA%\pmonlgaertpu\mtlskdxearx.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\pmonlgaertpu\lnfzqrsibqlj.exe
- %APPDATA%\pmonlgaertpu\mtlskdxearx.exe
Network activity:
Connects to:
- 'bu####ngclean.net':80
- 'ou####ewomen.net':80
- 'mo####ntwomen.net':80
- 'ev####gclean.net':80
- 'bu####ngcourse.net':80
- 'ev####gpaint.net':80
- 'bu####ngpaint.net':80
- 'ou####ecourse.net':80
- 'mo####ntclean.net':80
- 'en####hdress.net':80
- 'ei###rdress.net':80
- 'ou####eclean.net':80
- 'mo####ntcourse.net':80
- 'ou####epaint.net':80
- 'mo####ntpaint.net':80
- 'ev####gcourse.net':80
- 'do###rclean.net':80
- 'mi###women.net':80
- 'st###women.net':80
- 'pr###yclean.net':80
- 'do####course.net':80
- 'pr###ypaint.net':80
- 'do###rpaint.net':80
- 'mi###course.net':80
- 'st###clean.net':80
- 'ev####gwomen.net':80
- 'bu####ngwomen.net':80
- 'mi###clean.net':80
- 'st###course.net':80
- 'mi###paint.net':80
- 'st###paint.net':80
- 'en####hpublic.net':80
- 'pi####ecatch.net':80
- 'th###hdress.net':80
- 'fi###edress.net':80
- 'ci####ttecatch.net':80
- 'pi####epublic.net':80
- 'ci####tteeearly.net':80
- 'pi####eeearly.net':80
- 'th####public.net':80
- 'fi###ecatch.net':80
- 'ri###dress.net':80
- 'wh####rdress.net':80
- 'th###hcatch.net':80
- 'fi####public.net':80
- 'th####eearly.net':80
- 'fi####eearly.net':80
- 'ci####ttepublic.net':80
- 'ei###rcatch.net':80
- 'fa###ydress.net':80
- 'ch####endress.net':80
- 'en####hcatch.net':80
- 'ei####public.net':80
- 'en####heearly.net':80
- 'ei####eearly.net':80
- 'fa####public.net':80
- 'ch####encatch.net':80
- 'ci####ttedress.net':80
- 'pi####edress.net':80
- 'fa###ycatch.net':80
- 'ch####enpublic.net':80
- 'fa####eearly.net':80
- 'ch####eneearly.net':80
TCP:
HTTP GET requests:
- http://bu####ngclean.net/index.php?em######################################
- http://ou####ewomen.net/index.php?em######################################
- http://mo####ntwomen.net/index.php?em######################################
- http://ev####gclean.net/index.php?em######################################
- http://bu####ngcourse.net/index.php?em######################################
- http://ev####gpaint.net/index.php?em######################################
- http://bu####ngpaint.net/index.php?em######################################
- http://ou####ecourse.net/index.php?em######################################
- http://mo####ntclean.net/index.php?em######################################
- http://en####hdress.net/index.php?em######################################
- http://ei###rdress.net/index.php?em######################################
- http://ou####eclean.net/index.php?em######################################
- http://mo####ntcourse.net/index.php?em######################################
- http://ou####epaint.net/index.php?em######################################
- http://mo####ntpaint.net/index.php?em######################################
- http://ev####gcourse.net/index.php?em######################################
- http://do###rclean.net/index.php?em######################################
- http://mi###women.net/index.php?em######################################
- http://st###women.net/index.php?em######################################
- http://pr###yclean.net/index.php?em######################################
- http://do####course.net/index.php?em######################################
- http://pr###ypaint.net/index.php?em######################################
- http://do###rpaint.net/index.php?em######################################
- http://mi###course.net/index.php?em######################################
- http://st###clean.net/index.php?em######################################
- http://ev####gwomen.net/index.php?em######################################
- http://bu####ngwomen.net/index.php?em######################################
- http://mi###clean.net/index.php?em######################################
- http://st###course.net/index.php?em######################################
- http://mi###paint.net/index.php?em######################################
- http://st###paint.net/index.php?em######################################
- http://en####hpublic.net/index.php?em######################################
- http://pi####ecatch.net/index.php?em######################################
- http://th###hdress.net/index.php?em######################################
- http://fi###edress.net/index.php?em######################################
- http://ci####ttecatch.net/index.php?em######################################
- http://pi####epublic.net/index.php?em######################################
- http://ci####tteeearly.net/index.php?em######################################
- http://pi####eeearly.net/index.php?em######################################
- http://th####public.net/index.php?em######################################
- http://fi###ecatch.net/index.php?em######################################
- http://ri###dress.net/index.php?em######################################
- http://wh####rdress.net/index.php?em######################################
- http://th###hcatch.net/index.php?em######################################
- http://fi####public.net/index.php?em######################################
- http://th####eearly.net/index.php?em######################################
- http://fi####eearly.net/index.php?em######################################
- http://ci####ttepublic.net/index.php?em######################################
- http://ei###rcatch.net/index.php?em######################################
- http://fa###ydress.net/index.php?em######################################
- http://ch####endress.net/index.php?em######################################
- http://en####hcatch.net/index.php?em######################################
- http://ei####public.net/index.php?em######################################
- http://en####heearly.net/index.php?em######################################
- http://ei####eearly.net/index.php?em######################################
- http://fa####public.net/index.php?em######################################
- http://ch####encatch.net/index.php?em######################################
- http://ci####ttedress.net/index.php?em######################################
- http://pi####edress.net/index.php?em######################################
- http://fa###ycatch.net/index.php?em######################################
- http://ch####enpublic.net/index.php?em######################################
- http://fa####eearly.net/index.php?em######################################
- http://ch####eneearly.net/index.php?em######################################
UDP:
- DNS ASK bu####ngclean.net
- DNS ASK ev####gclean.net
- DNS ASK mo####ntwomen.net
- DNS ASK ou####ewomen.net
- DNS ASK bu####ngcourse.net
- DNS ASK ev####gcourse.net
- DNS ASK bu####ngpaint.net
- DNS ASK ev####gpaint.net
- DNS ASK mo####ntclean.net
- DNS ASK ou####eclean.net
- DNS ASK ei###rdress.net
- DNS ASK en####hdress.net
- DNS ASK mo####ntcourse.net
- DNS ASK ou####ecourse.net
- DNS ASK mo####ntpaint.net
- DNS ASK ou####epaint.net
- DNS ASK do###rclean.net
- DNS ASK pr###yclean.net
- DNS ASK st###women.net
- DNS ASK mi###women.net
- DNS ASK do####course.net
- DNS ASK pr####course.net
- DNS ASK do###rpaint.net
- DNS ASK pr###ypaint.net
- DNS ASK st###clean.net
- DNS ASK mi###clean.net
- DNS ASK bu####ngwomen.net
- DNS ASK ev####gwomen.net
- DNS ASK st###course.net
- DNS ASK mi###course.net
- DNS ASK st###paint.net
- DNS ASK mi###paint.net
- DNS ASK pi####ecatch.net
- DNS ASK ci####ttecatch.net
- DNS ASK fi###edress.net
- DNS ASK th###hdress.net
- DNS ASK pi####epublic.net
- DNS ASK ci####ttepublic.net
- DNS ASK pi####eeearly.net
- DNS ASK ci####tteeearly.net
- DNS ASK fi###ecatch.net
- DNS ASK th###hcatch.net
- DNS ASK wh####rdress.net
- DNS ASK ri###dress.net
- DNS ASK fi####public.net
- DNS ASK th####public.net
- DNS ASK fi####eearly.net
- DNS ASK th####eearly.net
- DNS ASK ei###rcatch.net
- DNS ASK en####hcatch.net
- DNS ASK ch####endress.net
- DNS ASK fa###ydress.net
- DNS ASK ei####public.net
- DNS ASK en####hpublic.net
- DNS ASK ei####eearly.net
- DNS ASK en####heearly.net
- DNS ASK ch####encatch.net
- DNS ASK fa###ycatch.net
- DNS ASK pi####edress.net
- DNS ASK ci####ttedress.net
- DNS ASK ch####enpublic.net
- DNS ASK fa####public.net
- DNS ASK ch####eneearly.net
- DNS ASK fa####eearly.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
