Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Diagnostic Plug Input Service' = '%APPDATA%\cluiyym\rozvhjhb.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\cluiyym\qmrdgnbc.exe' "%APPDATA%\cluiyym\rozvhjhb.exe"
- '%APPDATA%\cluiyym\rozvhjhb.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\cluiyym\rozvhjhb.hytx
- %APPDATA%\cluiyym\qmrdgnbc.exe
- %APPDATA%\cluiyym\rozvhjhb.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\cluiyym\rozvhjhb.exe
Network activity:
Connects to:
- 'be####delight.net':80
- 'ga#####lectricity.net':80
- 'be#####lectricity.net':80
- 'ga####delight.net':80
- 'fl###train.net':80
- 'br###borrow.net':80
- 'fl###borrow.net':80
- 'ga###rtrain.net':80
- 'st####delight.net':80
- 'tr#####ectricity.net':80
- 'st#####lectricity.net':80
- 'tr####elight.net':80
- 'be###rtrain.net':80
- 'ga####borrow.net':80
- 'be####borrow.net':80
- 'br###train.net':80
- 'qu####elight.net':80
- 'se#####lectricity.net':80
- 'qu#####ectricity.net':80
- 'se####delight.net':80
- 'ag####tposition.net':80
- 'do###number.net':80
- 'ag####tnumber.net':80
- 'se###ntrain.net':80
- 'fl####elight.net':80
- 'br#####ectricity.net':80
- 'fl#####ectricity.net':80
- 'br####elight.net':80
- 'qu###train.net':80
- 'se####borrow.net':80
- 'qu###borrow.net':80
- 'de####delight.net':80
- 'ni####elight.net':80
- 'de#####lectricity.net':80
- 'la###borrow.net':80
- 'ca####ntrain.net':80
- 'la###train.net':80
- 'ca####nborrow.net':80
- 'ni#####ectricity.net':80
- 'do####elight.net':80
- 'ag####tdelight.net':80
- 'do#####ectricity.net':80
- 'ni###borrow.net':80
- 'de###etrain.net':80
- 'ni###train.net':80
- 'de####borrow.net':80
- 'la#####ectricity.net':80
- 'el####icdelight.net':80
- 're####delight.net':80
- 'el#####celectricity.net':80
- 'st####borrow.net':80
- 'tr###train.net':80
- 'st###ttrain.net':80
- 'tr###borrow.net':80
- 're#####lectricity.net':80
- 'ca####ndelight.net':80
- 'la####elight.net':80
- 'ca#####electricity.net':80
- 're####borrow.net':80
- 'el####ictrain.net':80
- 're###dtrain.net':80
- 'el####icborrow.net':80
TCP:
HTTP GET requests:
- be####delight.net/index.php?em########################################
- ga#####lectricity.net/index.php?em########################################
- be#####lectricity.net/index.php?em########################################
- ga####delight.net/index.php?em########################################
- fl###train.net/index.php?em########################################
- br###borrow.net/index.php?em########################################
- fl###borrow.net/index.php?em########################################
- ga###rtrain.net/index.php?em########################################
- st####delight.net/index.php?em########################################
- tr#####ectricity.net/index.php?em########################################
- st#####lectricity.net/index.php?em########################################
- tr####elight.net/index.php?em########################################
- be###rtrain.net/index.php?em########################################
- ga####borrow.net/index.php?em########################################
- be####borrow.net/index.php?em########################################
- br###train.net/index.php?em########################################
- qu####elight.net/index.php?em########################################
- se#####lectricity.net/index.php?em########################################
- qu#####ectricity.net/index.php?em########################################
- se####delight.net/index.php?em########################################
- ag####tposition.net/index.php?em########################################
- do###number.net/index.php?em########################################
- ag####tnumber.net/index.php?em########################################
- se###ntrain.net/index.php?em########################################
- fl####elight.net/index.php?em########################################
- br#####ectricity.net/index.php?em########################################
- fl#####ectricity.net/index.php?em########################################
- br####elight.net/index.php?em########################################
- qu###train.net/index.php?em########################################
- se####borrow.net/index.php?em########################################
- qu###borrow.net/index.php?em########################################
- de####delight.net/index.php?em########################################
- ni####elight.net/index.php?em########################################
- de#####lectricity.net/index.php?em########################################
- la###borrow.net/index.php?em########################################
- ca####ntrain.net/index.php?em########################################
- la###train.net/index.php?em########################################
- ca####nborrow.net/index.php?em########################################
- ni#####ectricity.net/index.php?em########################################
- do####elight.net/index.php?em########################################
- ag####tdelight.net/index.php?em########################################
- do#####ectricity.net/index.php?em########################################
- ni###borrow.net/index.php?em########################################
- de###etrain.net/index.php?em########################################
- ni###train.net/index.php?em########################################
- de####borrow.net/index.php?em########################################
- la#####ectricity.net/index.php?em########################################
- el####icdelight.net/index.php?em########################################
- re####delight.net/index.php?em########################################
- el#####celectricity.net/index.php?em########################################
- st####borrow.net/index.php?em########################################
- tr###train.net/index.php?em########################################
- st###ttrain.net/index.php?em########################################
- tr###borrow.net/index.php?em########################################
- re#####lectricity.net/index.php?em########################################
- ca####ndelight.net/index.php?em########################################
- la####elight.net/index.php?em########################################
- ca#####electricity.net/index.php?em########################################
- re####borrow.net/index.php?em########################################
- el####ictrain.net/index.php?em########################################
- re###dtrain.net/index.php?em########################################
- el####icborrow.net/index.php?em########################################
UDP:
- DNS ASK be####delight.net
- DNS ASK ga#####lectricity.net
- DNS ASK be#####lectricity.net
- DNS ASK ga####delight.net
- DNS ASK fl###train.net
- DNS ASK br###borrow.net
- DNS ASK fl###borrow.net
- DNS ASK ga###rtrain.net
- DNS ASK st####delight.net
- DNS ASK tr#####ectricity.net
- DNS ASK st#####lectricity.net
- DNS ASK tr####elight.net
- DNS ASK be###rtrain.net
- DNS ASK ga####borrow.net
- DNS ASK be####borrow.net
- DNS ASK br###train.net
- DNS ASK qu####elight.net
- DNS ASK se#####lectricity.net
- DNS ASK qu#####ectricity.net
- DNS ASK se####delight.net
- DNS ASK ag####tposition.net
- DNS ASK do###number.net
- DNS ASK ag####tnumber.net
- DNS ASK se###ntrain.net
- DNS ASK fl####elight.net
- DNS ASK br#####ectricity.net
- DNS ASK fl#####ectricity.net
- DNS ASK br####elight.net
- DNS ASK qu###train.net
- DNS ASK se####borrow.net
- DNS ASK qu###borrow.net
- DNS ASK de####delight.net
- DNS ASK ni####elight.net
- DNS ASK de#####lectricity.net
- DNS ASK la###borrow.net
- DNS ASK ca####ntrain.net
- DNS ASK la###train.net
- DNS ASK ca####nborrow.net
- DNS ASK ni#####ectricity.net
- DNS ASK do####elight.net
- DNS ASK ag####tdelight.net
- DNS ASK do#####ectricity.net
- DNS ASK ni###borrow.net
- DNS ASK de###etrain.net
- DNS ASK ni###train.net
- DNS ASK de####borrow.net
- DNS ASK la#####ectricity.net
- DNS ASK el####icdelight.net
- DNS ASK re####delight.net
- DNS ASK el#####celectricity.net
- DNS ASK st####borrow.net
- DNS ASK tr###train.net
- DNS ASK st###ttrain.net
- DNS ASK tr###borrow.net
- DNS ASK re#####lectricity.net
- DNS ASK ca####ndelight.net
- DNS ASK la####elight.net
- DNS ASK ca#####electricity.net
- DNS ASK re####borrow.net
- DNS ASK el####ictrain.net
- DNS ASK re###dtrain.net
- DNS ASK el####icborrow.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
