Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CNG ActiveX Receiver Program Health' = '%APPDATA%\gfzvpxsriwnlvq\xbzexmm.exe'
Malicious functions:
Executes the following:
- '%APPDATA%\gfzvpxsriwnlvq\vvjrfbjt.exe' "%APPDATA%\gfzvpxsriwnlvq\xbzexmm.exe"
- '%APPDATA%\gfzvpxsriwnlvq\xbzexmm.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\gfzvpxsriwnlvq\xbzexmm.ar
- %APPDATA%\gfzvpxsriwnlvq\vvjrfbjt.exe
- %APPDATA%\gfzvpxsriwnlvq\xbzexmm.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\gfzvpxsriwnlvq\xbzexmm.exe
Network activity:
Connects to:
- 'mo#####nderstood.net':80
- 'mo####inchance.net':80
- 'mo####twenty.net':80
- 'si#####nderstood.net':80
- 'po####lechance.net':80
- 'mo####intwenty.net':80
- 'po####letwenty.net':80
- 'mo####inmeeting.net':80
- 'po####lemeeting.net':80
- 'se#####nderstood.net':80
- 'la####nderstood.net':80
- 'se####twenty.net':80
- 'la###twenty.net':80
- 'si####chance.net':80
- 'mo####meeting.net':80
- 'si####twenty.net':80
- 'mo####chance.net':80
- 'si####meeting.net':80
- 'mo#####nunderstood.net':80
- 'su####ttwenty.net':80
- 'su#####understood.net':80
- 'su####tchance.net':80
- 'su####tmeeting.net':80
- 'fi####chance.net':80
- 'le####eeting.net':80
- 'fi####twenty.net':80
- 'le###chance.net':80
- 'fi####meeting.net':80
- 'wi####chance.net':80
- 'pe####smeeting.net':80
- 'po#####eunderstood.net':80
- 'pe####schance.net':80
- 'wi####meeting.net':80
- 'pe#####understood.net':80
- 'wi#####nderstood.net':80
- 'pe####stwenty.net':80
- 'wi####twenty.net':80
- 'fi####reason.net':80
- 'le###reason.net':80
- 'fi####almost.net':80
- 'le###almost.net':80
- 'fi####orderly.net':80
- 'le###value.net':80
- 'sw###almost.net':80
- 'le####rderly.net':80
- 'fi###hvalue.net':80
- 'su####talmost.net':80
- 'wi####reason.net':80
- 'wi###wvalue.net':80
- 'wi####almost.net':80
- 'su####treason.net':80
- 'wi###rvalue.net':80
- 'su####tvalue.net':80
- 'wi####orderly.net':80
- 'su####torderly.net':80
- 'pr####lyalmost.net':80
- 'ma####alorderly.net':80
- 'se####lvalue.net':80
- 'ma####alreason.net':80
- 'se####lorderly.net':80
- 'ma####alvalue.net':80
- 'se####meeting.net':80
- 'la####eeting.net':80
- 'se####chance.net':80
- 'la###chance.net':80
- 'sw####rderly.net':80
- 'pr####lyorderly.net':80
- 'sw###reason.net':80
- 'pr####lyreason.net':80
- 'sw###value.net':80
- 'ma####alalmost.net':80
- 'se####lreason.net':80
- 'pr####lyvalue.net':80
- 'se####lalmost.net':80
TCP:
HTTP GET requests:
- http://mo#####nderstood.net/index.php?em####################################################
- http://mo####inchance.net/index.php?em####################################################
- http://mo####twenty.net/index.php?em####################################################
- http://si#####nderstood.net/index.php?em####################################################
- http://po####lechance.net/index.php?em####################################################
- http://mo####intwenty.net/index.php?em####################################################
- http://po####letwenty.net/index.php?em####################################################
- http://mo####inmeeting.net/index.php?em####################################################
- http://po####lemeeting.net/index.php?em####################################################
- http://se#####nderstood.net/index.php?em####################################################
- http://la####nderstood.net/index.php?em####################################################
- http://se####twenty.net/index.php?em####################################################
- http://la###twenty.net/index.php?em####################################################
- http://si####chance.net/index.php?em####################################################
- http://mo####meeting.net/index.php?em####################################################
- http://si####twenty.net/index.php?em####################################################
- http://mo####chance.net/index.php?em####################################################
- http://si####meeting.net/index.php?em####################################################
- http://mo#####nunderstood.net/index.php?em####################################################
- http://su####ttwenty.net/index.php?em####################################################
- http://su#####understood.net/index.php?em####################################################
- http://su####tchance.net/index.php?em####################################################
- http://su####tmeeting.net/index.php?em####################################################
- http://fi####chance.net/index.php?em####################################################
- http://le####eeting.net/index.php?em####################################################
- http://fi####twenty.net/index.php?em####################################################
- http://le###chance.net/index.php?em####################################################
- http://fi####meeting.net/index.php?em####################################################
- http://wi####chance.net/index.php?em####################################################
- http://pe####smeeting.net/index.php?em####################################################
- http://po#####eunderstood.net/index.php?em####################################################
- http://pe####schance.net/index.php?em####################################################
- http://wi####meeting.net/index.php?em####################################################
- http://pe#####understood.net/index.php?em####################################################
- http://wi#####nderstood.net/index.php?em####################################################
- http://pe####stwenty.net/index.php?em####################################################
- http://wi####twenty.net/index.php?em####################################################
- http://fi####reason.net/index.php?em####################################################
- http://le###reason.net/index.php?em####################################################
- http://fi####almost.net/index.php?em####################################################
- http://le###almost.net/index.php?em####################################################
- http://fi####orderly.net/index.php?em####################################################
- http://le###value.net/index.php?em####################################################
- http://sw###almost.net/index.php?em####################################################
- http://le####rderly.net/index.php?em####################################################
- http://fi###hvalue.net/index.php?em####################################################
- http://su####talmost.net/index.php?em####################################################
- http://wi####reason.net/index.php?em####################################################
- http://wi###wvalue.net/index.php?em####################################################
- http://wi####almost.net/index.php?em####################################################
- http://su####treason.net/index.php?em####################################################
- http://wi###rvalue.net/index.php?em####################################################
- http://su####tvalue.net/index.php?em####################################################
- http://wi####orderly.net/index.php?em####################################################
- http://su####torderly.net/index.php?em####################################################
- http://pr####lyalmost.net/index.php?em####################################################
- http://ma####alorderly.net/index.php?em####################################################
- http://se####lvalue.net/index.php?em####################################################
- http://ma####alreason.net/index.php?em####################################################
- http://se####lorderly.net/index.php?em####################################################
- http://ma####alvalue.net/index.php?em####################################################
- http://se####meeting.net/index.php?em####################################################
- http://la####eeting.net/index.php?em####################################################
- http://se####chance.net/index.php?em####################################################
- http://la###chance.net/index.php?em####################################################
- http://sw####rderly.net/index.php?em####################################################
- http://pr####lyorderly.net/index.php?em####################################################
- http://sw###reason.net/index.php?em####################################################
- http://pr####lyreason.net/index.php?em####################################################
- http://sw###value.net/index.php?em####################################################
- http://ma####alalmost.net/index.php?em####################################################
- http://se####lreason.net/index.php?em####################################################
- http://pr####lyvalue.net/index.php?em####################################################
- http://se####lalmost.net/index.php?em####################################################
UDP:
- DNS ASK mo#####nderstood.net
- DNS ASK mo####inchance.net
- DNS ASK mo####twenty.net
- DNS ASK si#####nderstood.net
- DNS ASK po####lechance.net
- DNS ASK mo####intwenty.net
- DNS ASK po####letwenty.net
- DNS ASK mo####inmeeting.net
- DNS ASK po####lemeeting.net
- DNS ASK se#####nderstood.net
- DNS ASK la####nderstood.net
- DNS ASK se####twenty.net
- DNS ASK la###twenty.net
- DNS ASK si####chance.net
- DNS ASK mo####meeting.net
- DNS ASK si####twenty.net
- DNS ASK mo####chance.net
- DNS ASK si####meeting.net
- DNS ASK mo#####nunderstood.net
- DNS ASK su####ttwenty.net
- DNS ASK su#####understood.net
- DNS ASK su####tchance.net
- DNS ASK su####tmeeting.net
- DNS ASK fi####chance.net
- DNS ASK le####eeting.net
- DNS ASK fi####twenty.net
- DNS ASK le###chance.net
- DNS ASK fi####meeting.net
- DNS ASK wi####chance.net
- DNS ASK pe####smeeting.net
- DNS ASK po#####eunderstood.net
- DNS ASK pe####schance.net
- DNS ASK wi####meeting.net
- DNS ASK pe#####understood.net
- DNS ASK wi#####nderstood.net
- DNS ASK pe####stwenty.net
- DNS ASK wi####twenty.net
- DNS ASK fi####reason.net
- DNS ASK le###reason.net
- DNS ASK fi####almost.net
- DNS ASK le###almost.net
- DNS ASK fi####orderly.net
- DNS ASK le###value.net
- DNS ASK sw###almost.net
- DNS ASK le####rderly.net
- DNS ASK fi###hvalue.net
- DNS ASK su####talmost.net
- DNS ASK wi####reason.net
- DNS ASK wi###wvalue.net
- DNS ASK wi####almost.net
- DNS ASK su####treason.net
- DNS ASK wi###rvalue.net
- DNS ASK su####tvalue.net
- DNS ASK wi####orderly.net
- DNS ASK su####torderly.net
- DNS ASK pr####lyalmost.net
- DNS ASK ma####alorderly.net
- DNS ASK se####lvalue.net
- DNS ASK ma####alreason.net
- DNS ASK se####lorderly.net
- DNS ASK ma####alvalue.net
- DNS ASK se####meeting.net
- DNS ASK la####eeting.net
- DNS ASK se####chance.net
- DNS ASK la###chance.net
- DNS ASK sw####rderly.net
- DNS ASK pr####lyorderly.net
- DNS ASK sw###reason.net
- DNS ASK pr####lyreason.net
- DNS ASK sw###value.net
- DNS ASK ma####alalmost.net
- DNS ASK se####lreason.net
- DNS ASK pr####lyvalue.net
- DNS ASK se####lalmost.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
