Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Software Resource Config Counter VC' = '%APPDATA%\rtkybhshr\tfkgkivrfusk.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\rtkybhshr\tqpnhmnolki.exe' "%APPDATA%\rtkybhshr\tfkgkivrfusk.exe"
- '%APPDATA%\rtkybhshr\tfkgkivrfusk.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\rtkybhshr\tfkgkivrfusk.qp9v
- %APPDATA%\rtkybhshr\tqpnhmnolki.exe
- %APPDATA%\rtkybhshr\tfkgkivrfusk.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\rtkybhshr\tqpnhmnolki.exe
- %APPDATA%\rtkybhshr\tfkgkivrfusk.exe
Network activity:
Connects to:
- 'ma####alsucceed.net':80
- 'se####lbetween.net':80
- 'se####lsucceed.net':80
- 'sw####tudent.net':80
- 'pr####lystudent.net':80
- 'se####lstudent.net':80
- 'ma####alstudent.net':80
- 'ma####alproduce.net':80
- 'ma####albetween.net':80
- 'se####lproduce.net':80
- 'le####tudent.net':80
- 'sw####ucceed.net':80
- 'fi####student.net':80
- 'fi####produce.net':80
- 'le####roduce.net':80
- 'sw####roduce.net':80
- 'pr####lyproduce.net':80
- 'pr####lybetween.net':80
- 'pr####lysucceed.net':80
- 'sw####etween.net':80
- 'mo####likely.net':80
- 'si###eworth.net':80
- 'si####likely.net':80
- 'si####glossary.net':80
- 'mo####glossary.net':80
- 'mo#####nglossary.net':80
- 'po#####eglossary.net':80
- 'po####leround.net':80
- 'mo###rworth.net':80
- 'mo####inround.net':80
- 'la####lossary.net':80
- 'se####likely.net':80
- 'se####glossary.net':80
- 'se###around.net':80
- 'la###round.net':80
- 'si###eround.net':80
- 'mo###rround.net':80
- 'la###worth.net':80
- 'la###likely.net':80
- 'se###aworth.net':80
- 'mo####produce.net':80
- 'si####student.net':80
- 'si####produce.net':80
- 'si####between.net':80
- 'mo####between.net':80
- 'mo####inbetween.net':80
- 'po####lebetween.net':80
- 'po####lesucceed.net':80
- 'mo####student.net':80
- 'mo####insucceed.net':80
- 'la####etween.net':80
- 'se####produce.net':80
- 'se####between.net':80
- 'se####succeed.net':80
- 'la####ucceed.net':80
- 'si####succeed.net':80
- 'mo####succeed.net':80
- 'la####tudent.net':80
- 'la####roduce.net':80
- 'se####student.net':80
- 'su####tbetween.net':80
- 'su####tproduce.net':80
- 'su####tsucceed.net':80
- 'pe####sstudent.net':80
- 'wi####student.net':80
- 'fi####between.net':80
- 'le####etween.net':80
- 'le####ucceed.net':80
- 'su####tstudent.net':80
- 'fi####succeed.net':80
- 'po####lestudent.net':80
- 'pe####ssucceed.net':80
- 'mo####instudent.net':80
- 'mo####inproduce.net':80
- 'po####leproduce.net':80
- 'pe####sproduce.net':80
- 'wi####produce.net':80
- 'wi####between.net':80
- 'wi####succeed.net':80
- 'pe####sbetween.net':80
TCP:
HTTP GET requests:
- http://ma####alsucceed.net/forum/search.php?em############################################
- http://se####lbetween.net/forum/search.php?em############################################
- http://se####lsucceed.net/forum/search.php?em############################################
- http://sw####tudent.net/forum/search.php?em############################################
- http://pr####lystudent.net/forum/search.php?em############################################
- http://se####lstudent.net/forum/search.php?em############################################
- http://ma####alstudent.net/forum/search.php?em############################################
- http://ma####alproduce.net/forum/search.php?em############################################
- http://ma####albetween.net/forum/search.php?em############################################
- http://se####lproduce.net/forum/search.php?em############################################
- http://le####tudent.net/forum/search.php?em############################################
- http://sw####ucceed.net/forum/search.php?em############################################
- http://fi####student.net/forum/search.php?em############################################
- http://fi####produce.net/forum/search.php?em############################################
- http://le####roduce.net/forum/search.php?em############################################
- http://sw####roduce.net/forum/search.php?em############################################
- http://pr####lyproduce.net/forum/search.php?em############################################
- http://pr####lybetween.net/forum/search.php?em############################################
- http://pr####lysucceed.net/forum/search.php?em############################################
- http://sw####etween.net/forum/search.php?em############################################
- http://mo####likely.net/forum/search.php?em############################################
- http://si###eworth.net/forum/search.php?em############################################
- http://si####likely.net/forum/search.php?em############################################
- http://si####glossary.net/forum/search.php?em############################################
- http://mo####glossary.net/forum/search.php?em############################################
- http://mo#####nglossary.net/forum/search.php?em############################################
- http://po#####eglossary.net/forum/search.php?em############################################
- http://po####leround.net/forum/search.php?em############################################
- http://mo###rworth.net/forum/search.php?em############################################
- http://mo####inround.net/forum/search.php?em############################################
- http://la####lossary.net/forum/search.php?em############################################
- http://se####likely.net/forum/search.php?em############################################
- http://se####glossary.net/forum/search.php?em############################################
- http://se###around.net/forum/search.php?em############################################
- http://la###round.net/forum/search.php?em############################################
- http://si###eround.net/forum/search.php?em############################################
- http://mo###rround.net/forum/search.php?em############################################
- http://la###worth.net/forum/search.php?em############################################
- http://la###likely.net/forum/search.php?em############################################
- http://se###aworth.net/forum/search.php?em############################################
- http://mo####produce.net/forum/search.php?em############################################
- http://si####student.net/forum/search.php?em############################################
- http://si####produce.net/forum/search.php?em############################################
- http://si####between.net/forum/search.php?em############################################
- http://mo####between.net/forum/search.php?em############################################
- http://mo####inbetween.net/forum/search.php?em############################################
- http://po####lebetween.net/forum/search.php?em############################################
- http://po####lesucceed.net/forum/search.php?em############################################
- http://mo####student.net/forum/search.php?em############################################
- http://mo####insucceed.net/forum/search.php?em############################################
- http://la####etween.net/forum/search.php?em############################################
- http://se####produce.net/forum/search.php?em############################################
- http://se####between.net/forum/search.php?em############################################
- http://se####succeed.net/forum/search.php?em############################################
- http://la####ucceed.net/forum/search.php?em############################################
- http://si####succeed.net/forum/search.php?em############################################
- http://mo####succeed.net/forum/search.php?em############################################
- http://la####tudent.net/forum/search.php?em############################################
- http://la####roduce.net/forum/search.php?em############################################
- http://se####student.net/forum/search.php?em############################################
- http://su####tbetween.net/forum/search.php?em############################################
- http://su####tproduce.net/forum/search.php?em############################################
- http://su####tsucceed.net/forum/search.php?em############################################
- http://pe####sstudent.net/forum/search.php?em############################################
- http://wi####student.net/forum/search.php?em############################################
- http://fi####between.net/forum/search.php?em############################################
- http://le####etween.net/forum/search.php?em############################################
- http://le####ucceed.net/forum/search.php?em############################################
- http://su####tstudent.net/forum/search.php?em############################################
- http://fi####succeed.net/forum/search.php?em############################################
- http://po####lestudent.net/forum/search.php?em############################################
- http://pe####ssucceed.net/forum/search.php?em############################################
- http://mo####instudent.net/forum/search.php?em############################################
- http://mo####inproduce.net/forum/search.php?em############################################
- http://po####leproduce.net/forum/search.php?em############################################
- http://pe####sproduce.net/forum/search.php?em############################################
- http://wi####produce.net/forum/search.php?em############################################
- http://wi####between.net/forum/search.php?em############################################
- http://wi####succeed.net/forum/search.php?em############################################
- http://pe####sbetween.net/forum/search.php?em############################################
UDP:
- DNS ASK se####lbetween.net
- DNS ASK ma####albetween.net
- DNS ASK ma####alsucceed.net
- DNS ASK pr####lystudent.net
- DNS ASK se####lsucceed.net
- DNS ASK ma####alstudent.net
- DNS ASK se###around.net
- DNS ASK se####lstudent.net
- DNS ASK se####lproduce.net
- DNS ASK ma####alproduce.net
- DNS ASK sw####ucceed.net
- DNS ASK pr####lysucceed.net
- DNS ASK le####tudent.net
- DNS ASK le####roduce.net
- DNS ASK fi####student.net
- DNS ASK pr####lyproduce.net
- DNS ASK sw####tudent.net
- DNS ASK sw####roduce.net
- DNS ASK sw####etween.net
- DNS ASK pr####lybetween.net
- DNS ASK si###eworth.net
- DNS ASK mo###rworth.net
- DNS ASK mo####likely.net
- DNS ASK mo####glossary.net
- DNS ASK si####likely.net
- DNS ASK po#####eglossary.net
- DNS ASK mo####inlikely.net
- DNS ASK mo#####nglossary.net
- DNS ASK mo####inround.net
- DNS ASK po####leround.net
- DNS ASK se####likely.net
- DNS ASK la###likely.net
- DNS ASK la####lossary.net
- DNS ASK la###round.net
- DNS ASK se####glossary.net
- DNS ASK mo###rround.net
- DNS ASK si####glossary.net
- DNS ASK si###eround.net
- DNS ASK se###aworth.net
- DNS ASK la###worth.net
- DNS ASK fi####produce.net
- DNS ASK mo####produce.net
- DNS ASK si####student.net
- DNS ASK si####produce.net
- DNS ASK si####between.net
- DNS ASK mo####between.net
- DNS ASK mo####inbetween.net
- DNS ASK po####lebetween.net
- DNS ASK po####lesucceed.net
- DNS ASK mo####student.net
- DNS ASK mo####insucceed.net
- DNS ASK la####etween.net
- DNS ASK se####produce.net
- DNS ASK se####between.net
- DNS ASK se####succeed.net
- DNS ASK la####ucceed.net
- DNS ASK si####succeed.net
- DNS ASK mo####succeed.net
- DNS ASK la####tudent.net
- DNS ASK la####roduce.net
- DNS ASK se####student.net
- DNS ASK su####tbetween.net
- DNS ASK su####tproduce.net
- DNS ASK su####tsucceed.net
- DNS ASK pe####sstudent.net
- DNS ASK wi####student.net
- DNS ASK fi####between.net
- DNS ASK le####etween.net
- DNS ASK le####ucceed.net
- DNS ASK su####tstudent.net
- DNS ASK fi####succeed.net
- DNS ASK po####lestudent.net
- DNS ASK pe####ssucceed.net
- DNS ASK mo####instudent.net
- DNS ASK mo####inproduce.net
- DNS ASK po####leproduce.net
- DNS ASK pe####sproduce.net
- DNS ASK wi####produce.net
- DNS ASK wi####between.net
- DNS ASK wi####succeed.net
- DNS ASK pe####sbetween.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
