Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Acquisition Task Enumerator Tunneling Location' = '%APPDATA%\uqiwb6qax\cqkov3zh1.exe'
Malicious functions:
Executes the following:
- '%APPDATA%\uqiwb6qax\bvsxfoig3ulw.exe' "%APPDATA%\uqiwb6qax\cqkov3zh1.exe"
- '%APPDATA%\uqiwb6qax\cqkov3zh1.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\uqiwb6qax\cqkov3zh1.z1tud
- %APPDATA%\uqiwb6qax\bvsxfoig3ulw.exe
- %APPDATA%\uqiwb6qax\cqkov3zh1.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\uqiwb6qax\cqkov3zh1.exe
Network activity:
Connects to:
- 'ev####gdivide.net':80
- 'bu####ngdivide.net':80
- 'ev####gbottle.net':80
- 'st###stream.net':80
- 'mi####othing.net':80
- 'st####othing.net':80
- 'mi###stream.net':80
- 'bu####ngstream.net':80
- 'ou####edivide.net':80
- 'mo####ntdivide.net':80
- 'ev####gstream.net':80
- 'bu####ngbottle.net':80
- 'ev####gnothing.net':80
- 'bu####ngnothing.net':80
- 'st###bottle.net':80
- 'do####divide.net':80
- 'pr####bottle.net':80
- 'do####bottle.net':80
- 'pr####divide.net':80
- 'fe####bottle.net':80
- 'fe####nothing.net':80
- 'fe####stream.net':80
- 'mi###divide.net':80
- 'st###divide.net':80
- 'mi###bottle.net':80
- 'do####stream.net':80
- 'pr####nothing.net':80
- 'do####nothing.net':80
- 'pr####stream.net':80
- 'pr####epaint.net':80
- 'de###eclean.net':80
- 'pr####eclean.net':80
- 'de###epaint.net':80
- 'pr####ewomen.net':80
- 'de####course.net':80
- 'pr####ecourse.net':80
- 're###tpaint.net':80
- 'br###npaint.net':80
- 're###tclean.net':80
- 'br####course.net':80
- 're###twomen.net':80
- 'br###nwomen.net':80
- 're####course.net':80
- 'de###ewomen.net':80
- 'ou####estream.net':80
- 'mo####ntstream.net':80
- 'st###women.net':80
- 'mo####ntnothing.net':80
- 'ou####ebottle.net':80
- 'mo####ntbottle.net':80
- 'ou####enothing.net':80
- 'st####thpaint.net':80
- 'st###clean.net':80
- 'st####thclean.net':80
- 'st###paint.net':80
- 'st####thwomen.net':80
- 'st###course.net':80
- 'st####thcourse.net':80
TCP:
HTTP GET requests:
- http://ev####gdivide.net/index.php?em###################################################################
- http://bu####ngdivide.net/index.php?em###################################################################
- http://ev####gbottle.net/index.php?em###################################################################
- http://st###stream.net/index.php?em###################################################################
- http://mi####othing.net/index.php?em###################################################################
- http://st####othing.net/index.php?em###################################################################
- http://mi###stream.net/index.php?em###################################################################
- http://bu####ngstream.net/index.php?em###################################################################
- http://ou####edivide.net/index.php?em###################################################################
- http://mo####ntdivide.net/index.php?em###################################################################
- http://ev####gstream.net/index.php?em###################################################################
- http://bu####ngbottle.net/index.php?em###################################################################
- http://ev####gnothing.net/index.php?em###################################################################
- http://bu####ngnothing.net/index.php?em###################################################################
- http://st###bottle.net/index.php?em###################################################################
- http://do####divide.net/index.php?em###################################################################
- http://pr####bottle.net/index.php?em###################################################################
- http://do####bottle.net/index.php?em###################################################################
- http://pr####divide.net/index.php?em###################################################################
- http://fe####bottle.net/index.php?em###################################################################
- http://fe####nothing.net/index.php?em###################################################################
- http://fe####stream.net/index.php?em###################################################################
- http://mi###divide.net/index.php?em###################################################################
- http://st###divide.net/index.php?em###################################################################
- http://mi###bottle.net/index.php?em###################################################################
- http://do####stream.net/index.php?em###################################################################
- http://pr####nothing.net/index.php?em###################################################################
- http://do####nothing.net/index.php?em###################################################################
- http://pr####stream.net/index.php?em###################################################################
- http://pr####epaint.net/index.php?em###################################################################
- http://de###eclean.net/index.php?em###################################################################
- http://pr####eclean.net/index.php?em###################################################################
- http://de###epaint.net/index.php?em###################################################################
- http://pr####ewomen.net/index.php?em###################################################################
- http://de####course.net/index.php?em###################################################################
- http://pr####ecourse.net/index.php?em###################################################################
- http://re###tpaint.net/index.php?em###################################################################
- http://br###npaint.net/index.php?em###################################################################
- http://re###tclean.net/index.php?em###################################################################
- http://br####course.net/index.php?em###################################################################
- http://re###twomen.net/index.php?em###################################################################
- http://br###nwomen.net/index.php?em###################################################################
- http://re####course.net/index.php?em###################################################################
- http://de###ewomen.net/index.php?em###################################################################
- http://ou####estream.net/index.php?em###################################################################
- http://mo####ntstream.net/index.php?em###################################################################
- http://st###women.net/index.php?em###################################################################
- http://mo####ntnothing.net/index.php?em###################################################################
- http://ou####ebottle.net/index.php?em###################################################################
- http://mo####ntbottle.net/index.php?em###################################################################
- http://ou####enothing.net/index.php?em###################################################################
- http://st####thpaint.net/index.php?em###################################################################
- http://st###clean.net/index.php?em###################################################################
- http://st####thclean.net/index.php?em###################################################################
- http://st###paint.net/index.php?em###################################################################
- http://st####thwomen.net/index.php?em###################################################################
- http://st###course.net/index.php?em###################################################################
- http://st####thcourse.net/index.php?em###################################################################
UDP:
- DNS ASK ev####gdivide.net
- DNS ASK bu####ngdivide.net
- DNS ASK ev####gbottle.net
- DNS ASK st###stream.net
- DNS ASK mi####othing.net
- DNS ASK st####othing.net
- DNS ASK mi###stream.net
- DNS ASK bu####ngstream.net
- DNS ASK ou####edivide.net
- DNS ASK mo####ntdivide.net
- DNS ASK ev####gstream.net
- DNS ASK bu####ngbottle.net
- DNS ASK ev####gnothing.net
- DNS ASK bu####ngnothing.net
- DNS ASK st###bottle.net
- DNS ASK do####divide.net
- DNS ASK pr####bottle.net
- DNS ASK do####bottle.net
- DNS ASK pr####divide.net
- DNS ASK fe####bottle.net
- DNS ASK fe####nothing.net
- DNS ASK fe####stream.net
- DNS ASK mi###divide.net
- DNS ASK st###divide.net
- DNS ASK mi###bottle.net
- DNS ASK do####stream.net
- DNS ASK pr####nothing.net
- DNS ASK do####nothing.net
- DNS ASK pr####stream.net
- DNS ASK pr####epaint.net
- DNS ASK de###eclean.net
- DNS ASK pr####eclean.net
- DNS ASK de###epaint.net
- DNS ASK pr####ewomen.net
- DNS ASK de####course.net
- DNS ASK pr####ecourse.net
- DNS ASK re###tpaint.net
- DNS ASK br###npaint.net
- DNS ASK re###tclean.net
- DNS ASK br####course.net
- DNS ASK re###twomen.net
- DNS ASK br###nwomen.net
- DNS ASK re####course.net
- DNS ASK de###ewomen.net
- DNS ASK ou####estream.net
- DNS ASK mo####ntstream.net
- DNS ASK st###women.net
- DNS ASK mo####ntnothing.net
- DNS ASK ou####ebottle.net
- DNS ASK mo####ntbottle.net
- DNS ASK ou####enothing.net
- DNS ASK st####thpaint.net
- DNS ASK st###clean.net
- DNS ASK st####thclean.net
- DNS ASK st###paint.net
- DNS ASK st####thwomen.net
- DNS ASK st###course.net
- DNS ASK st####thcourse.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
