Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Extender Connection Peer Font' = '%APPDATA%\nznyillbdxo\ssmnlcltpz.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\nznyillbdxo\ecwkzqvdtbtw.exe' "%APPDATA%\nznyillbdxo\ssmnlcltpz.exe"
- '%APPDATA%\nznyillbdxo\ssmnlcltpz.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\nznyillbdxo\ssmnlcltpz.came
- %APPDATA%\nznyillbdxo\ecwkzqvdtbtw.exe
- %APPDATA%\nznyillbdxo\ssmnlcltpz.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\nznyillbdxo\ssmnlcltpz.exe
Network activity:
Connects to:
- 'de####yanother.net':80
- 'li####manner.net':80
- 'de####ymanner.net':80
- 'li####business.net':80
- 'de####ybusiness.net':80
- 'li####another.net':80
- 'hu####dappear.net':80
- 'hu####danother.net':80
- 'jo####yanother.net':80
- 'hu####dmanner.net':80
- 'jo####yappear.net':80
- 'hu####dbusiness.net':80
- 'jo####ybusiness.net':80
- 'be####appear.net':80
- 'ri####appear.net':80
- 'be####business.net':80
- 'ch####nother.net':80
- 'th###manner.net':80
- 'ch###manner.net':80
- 'ri####business.net':80
- 'ri####manner.net':80
- 'li####appear.net':80
- 'de####yappear.net':80
- 'be####another.net':80
- 'ri####another.net':80
- 'be####manner.net':80
- 'jo####ymanner.net':80
- 'th####hdivide.net':80
- 'ef####divide.net':80
- 'th####hbottle.net':80
- 'fo####nothing.net':80
- 'in####sestream.net':80
- 'fo####stream.net':80
- 'ef####bottle.net':80
- 'ef####stream.net':80
- 'su####divide.net':80
- 'wi####divide.net':80
- 'th####hnothing.net':80
- 'ef####nothing.net':80
- 'th####hstream.net':80
- 'wo###bottle.net':80
- 're####ernothing.net':80
- 'wo####othing.net':80
- 're####erdivide.net':80
- 'wo###divide.net':80
- 're####erbottle.net':80
- 're####erstream.net':80
- 'in####sebottle.net':80
- 'fo####bottle.net':80
- 'in####senothing.net':80
- 'wo###stream.net':80
- 'in####sedivide.net':80
- 'fo####divide.net':80
TCP:
HTTP GET requests:
- de####yanother.net/index.php?em#####################################################
- li####manner.net/index.php?em#####################################################
- de####ymanner.net/index.php?em#####################################################
- li####business.net/index.php?em#####################################################
- de####ybusiness.net/index.php?em#####################################################
- li####another.net/index.php?em#####################################################
- hu####dappear.net/index.php?em#####################################################
- hu####danother.net/index.php?em#####################################################
- jo####yanother.net/index.php?em#####################################################
- hu####dmanner.net/index.php?em#####################################################
- jo####yappear.net/index.php?em#####################################################
- hu####dbusiness.net/index.php?em#####################################################
- jo####ybusiness.net/index.php?em#####################################################
- be####appear.net/index.php?em#####################################################
- ri####appear.net/index.php?em#####################################################
- be####business.net/index.php?em#####################################################
- ch####nother.net/index.php?em#####################################################
- th###manner.net/index.php?em#####################################################
- ch###manner.net/index.php?em#####################################################
- ri####business.net/index.php?em#####################################################
- ri####manner.net/index.php?em#####################################################
- li####appear.net/index.php?em#####################################################
- de####yappear.net/index.php?em#####################################################
- be####another.net/index.php?em#####################################################
- ri####another.net/index.php?em#####################################################
- be####manner.net/index.php?em#####################################################
- jo####ymanner.net/index.php?em#####################################################
- th####hdivide.net/index.php?em#####################################################
- ef####divide.net/index.php?em#####################################################
- th####hbottle.net/index.php?em#####################################################
- fo####nothing.net/index.php?em#####################################################
- in####sestream.net/index.php?em#####################################################
- fo####stream.net/index.php?em#####################################################
- ef####bottle.net/index.php?em#####################################################
- ef####stream.net/index.php?em#####################################################
- su####divide.net/index.php?em#####################################################
- wi####divide.net/index.php?em#####################################################
- th####hnothing.net/index.php?em#####################################################
- ef####nothing.net/index.php?em#####################################################
- th####hstream.net/index.php?em#####################################################
- wo###bottle.net/index.php?em#####################################################
- re####ernothing.net/index.php?em#####################################################
- wo####othing.net/index.php?em#####################################################
- re####erdivide.net/index.php?em#####################################################
- wo###divide.net/index.php?em#####################################################
- re####erbottle.net/index.php?em#####################################################
- re####erstream.net/index.php?em#####################################################
- in####sebottle.net/index.php?em#####################################################
- fo####bottle.net/index.php?em#####################################################
- in####senothing.net/index.php?em#####################################################
- wo###stream.net/index.php?em#####################################################
- in####sedivide.net/index.php?em#####################################################
- fo####divide.net/index.php?em#####################################################
UDP:
- DNS ASK de####yanother.net
- DNS ASK li####manner.net
- DNS ASK de####ymanner.net
- DNS ASK li####business.net
- DNS ASK de####ybusiness.net
- DNS ASK li####another.net
- DNS ASK hu####dappear.net
- DNS ASK hu####danother.net
- DNS ASK jo####yanother.net
- DNS ASK hu####dmanner.net
- DNS ASK jo####yappear.net
- DNS ASK hu####dbusiness.net
- DNS ASK jo####ybusiness.net
- DNS ASK de####yappear.net
- DNS ASK ch###manner.net
- DNS ASK be####appear.net
- DNS ASK ri####appear.net
- DNS ASK th####nother.net
- DNS ASK ch####nother.net
- DNS ASK th###manner.net
- DNS ASK be####business.net
- DNS ASK be####manner.net
- DNS ASK ri####manner.net
- DNS ASK li####appear.net
- DNS ASK ri####business.net
- DNS ASK be####another.net
- DNS ASK ri####another.net
- DNS ASK th####hdivide.net
- DNS ASK ef####divide.net
- DNS ASK th####hbottle.net
- DNS ASK fo####nothing.net
- DNS ASK in####sestream.net
- DNS ASK fo####stream.net
- DNS ASK ef####bottle.net
- DNS ASK ef####stream.net
- DNS ASK su####divide.net
- DNS ASK wi####divide.net
- DNS ASK th####hnothing.net
- DNS ASK ef####nothing.net
- DNS ASK th####hstream.net
- DNS ASK in####senothing.net
- DNS ASK re####erbottle.net
- DNS ASK wo###bottle.net
- DNS ASK re####ernothing.net
- DNS ASK jo####ymanner.net
- DNS ASK re####erdivide.net
- DNS ASK wo###divide.net
- DNS ASK wo####othing.net
- DNS ASK fo####divide.net
- DNS ASK in####sebottle.net
- DNS ASK fo####bottle.net
- DNS ASK re####erstream.net
- DNS ASK wo###stream.net
- DNS ASK in####sedivide.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
