Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Spooler SNMP Collector iSCSI Print' = '<SYSTEM32>\rnprakctyucs.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Netlogon Enumerator Notification Tunneling] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\jmhfsjm.exe' "<SYSTEM32>\rnprakctyucs.exe"
- '%WINDIR%\Temp\sbvckrve3mzprcb.exe' -r 22775 tcp
- '%TEMP%\sbvckrve3f4qrcbwshggqko.exe'
- '<SYSTEM32>\rnprakctyucs.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- <SYSTEM32>\kftzxhyvmzj\run
- <SYSTEM32>\kftzxhyvmzj\rng
- %WINDIR%\Temp\sbvckrve3mzprcb.exe
- <SYSTEM32>\kftzxhyvmzj\cfg
- <SYSTEM32>\jmhfsjm.exe
- %TEMP%\sbvckrve3f4qrcbwshggqko.exe
- <SYSTEM32>\kftzxhyvmzj\tst
- <SYSTEM32>\rnprakctyucs.exe
- <SYSTEM32>\kftzxhyvmzj\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\jmhfsjm.exe
- <SYSTEM32>\rnprakctyucs.exe
Deletes the following files:
- %WINDIR%\Temp\sbvckrve3mzprcb.exe
- <DRIVERS>\etc\hosts
- %TEMP%\sbvckrve3f4qrcbwshggqko.exe
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'li###all.net':80
- 'th###tall.net':80
- 'th###cook.net':80
- 'th###next.net':80
- 'li###ook.net':80
- 'so###next.net':80
- 'fi###cook.net':80
- 'fi###next.net':80
- 'fi###been.net':80
- 'so###been.net':80
- 'we###ook.net':80
- 'fe###ook.net':80
- 'fe###ext.net':80
- 'fe###een.net':80
- 'we###ext.net':80
- 'th###been.net':80
- 'li###ext.net':80
- 'li###een.net':80
- 'we###all.net':80
- 'fe###all.net':80
- 'dr####hirteen.net':80
- 'mo###rest.net':80
- 'fa###oat.net':80
- 'mu###appy.net':80
- 'se###sound.net':80
- 'en###guess.net':80
- 'ab###ead.net':80
- 'so###nder.net':80
- 'we####dayhalf.net':80
- 'qu###tell.net':80
- 'fa###sing.net':80
- 'ri###ing.net':80
- 'so###tall.net':80
- 'so###cook.net':80
- 'fi###tall.net':80
- 'ri###ine.net':80
- 'fa###never.net':80
- 'fa###nine.net':80
- 'fa###start.net':80
- 'ri###tart.net':80
TCP:
HTTP GET requests:
- li###all.net/index.php?me################################################
- th###tall.net/index.php?me################################################
- th###cook.net/index.php?me################################################
- th###next.net/index.php?me################################################
- li###ook.net/index.php?me################################################
- so###next.net/index.php?me################################################
- fi###cook.net/index.php?me################################################
- fi###next.net/index.php?me################################################
- fi###been.net/index.php?me################################################
- so###been.net/index.php?me################################################
- we###ook.net/index.php?me################################################
- fe###ook.net/index.php?me################################################
- fe###ext.net/index.php?me################################################
- fe###een.net/index.php?me################################################
- we###ext.net/index.php?me################################################
- th###been.net/index.php?me################################################
- li###ext.net/index.php?me################################################
- li###een.net/index.php?me################################################
- we###all.net/index.php?me################################################
- fe###all.net/index.php?me################################################
- dr####hirteen.net/index.php?me################################################
- mo###rest.net/index.php?me################################################
- fa###oat.net/index.php?me################################################
- mu###appy.net/index.php?me################################################
- se###sound.net/index.php?me################################################
- en###guess.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- so###nder.net/index.php?me################################################
- we####dayhalf.net/index.php?me################################################
- qu###tell.net/index.php?me################################################
- fa###sing.net/index.php?me################################################
- ri###ing.net/index.php?me################################################
- so###tall.net/index.php?me################################################
- so###cook.net/index.php?me################################################
- fi###tall.net/index.php?me################################################
- ri###ine.net/index.php?me################################################
- fa###never.net/index.php?me################################################
- fa###nine.net/index.php?me################################################
- fa###start.net/index.php?me################################################
- ri###tart.net/index.php?me################################################
UDP:
- DNS ASK li###all.net
- DNS ASK th###tall.net
- DNS ASK th###cook.net
- DNS ASK th###next.net
- DNS ASK li###ook.net
- DNS ASK so###next.net
- DNS ASK fi###cook.net
- DNS ASK fi###next.net
- DNS ASK fi###been.net
- DNS ASK so###been.net
- DNS ASK li###ext.net
- DNS ASK fe###ext.net
- DNS ASK we###ook.net
- DNS ASK we###ext.net
- DNS ASK we###een.net
- DNS ASK fe###een.net
- DNS ASK li###een.net
- DNS ASK th###been.net
- DNS ASK fe###all.net
- DNS ASK fe###ook.net
- DNS ASK we###all.net
- DNS ASK dr####hirteen.net
- DNS ASK mo###rest.net
- DNS ASK fa###oat.net
- DNS ASK mu###appy.net
- DNS ASK se###sound.net
- DNS ASK en###guess.net
- DNS ASK ab###ead.net
- DNS ASK so###nder.net
- DNS ASK we####dayhalf.net
- DNS ASK qu###tell.net
- DNS ASK fa###sing.net
- DNS ASK ri###ing.net
- DNS ASK so###tall.net
- DNS ASK so###cook.net
- DNS ASK fi###tall.net
- DNS ASK ri###ine.net
- DNS ASK fa###never.net
- DNS ASK fa###nine.net
- DNS ASK fa###start.net
- DNS ASK ri###tart.net
- '23#.#55.255.250':1900
