Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Name Player Task Secure Interactive' = '%APPDATA%\pofahuulvchauve\snewwmmy.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\pofahuulvchauve\afofmozgk.exe' "%APPDATA%\pofahuulvchauve\snewwmmy.exe"
- '%APPDATA%\pofahuulvchauve\snewwmmy.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\pofahuulvchauve\snewwmmy.rsnq
- %APPDATA%\pofahuulvchauve\afofmozgk.exe
- %APPDATA%\pofahuulvchauve\snewwmmy.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\pofahuulvchauve\snewwmmy.exe
Network activity:
Connects to:
- 'ag####tmister.net':80
- 'se####article.net':80
- 'qu####rticle.net':80
- 'do####uppose.net':80
- 'ag####tsuppose.net':80
- 'do###mister.net':80
- 'qu####ifteen.net':80
- 'se###ndried.net':80
- 'qu###dried.net':80
- 'se###nangry.net':80
- 'qu###angry.net':80
- 'se####fifteen.net':80
- 'ni####ervice.net':80
- 'de####suppose.net':80
- 'ni####uppose.net':80
- 'de###eriver.net':80
- 'ni###river.net':80
- 'de####service.net':80
- 'ag####triver.net':80
- 'do####ervice.net':80
- 'ag####tservice.net':80
- 'de####mister.net':80
- 'ni###mister.net':80
- 'do###river.net':80
- 'be###rdried.net':80
- 'tr####rticle.net':80
- 'st####article.net':80
- 'ga####fifteen.net':80
- 'be####fifteen.net':80
- 'ga###rdried.net':80
- 'st####fifteen.net':80
- 'tr###dried.net':80
- 'st###tdried.net':80
- 'tr###angry.net':80
- 'st###tangry.net':80
- 'tr####ifteen.net':80
- 'fl###angry.net':80
- 'br####ifteen.net':80
- 'fl####ifteen.net':80
- 'br####rticle.net':80
- 'fl####rticle.net':80
- 'br###angry.net':80
- 'be####article.net':80
- 'ga###rangry.net':80
- 'be###rangry.net':80
- 'br###dried.net':80
- 'fl###dried.net':80
- 'ga####article.net':80
TCP:
HTTP GET requests:
- ag####tmister.net/index.php?em########################################
- se####article.net/index.php?em########################################
- qu####rticle.net/index.php?em########################################
- do####uppose.net/index.php?em########################################
- ag####tsuppose.net/index.php?em########################################
- do###mister.net/index.php?em########################################
- qu####ifteen.net/index.php?em########################################
- se###ndried.net/index.php?em########################################
- qu###dried.net/index.php?em########################################
- se###nangry.net/index.php?em########################################
- qu###angry.net/index.php?em########################################
- se####fifteen.net/index.php?em########################################
- ni####ervice.net/index.php?em########################################
- de####suppose.net/index.php?em########################################
- ni####uppose.net/index.php?em########################################
- de###eriver.net/index.php?em########################################
- ni###river.net/index.php?em########################################
- de####service.net/index.php?em########################################
- ag####triver.net/index.php?em########################################
- do####ervice.net/index.php?em########################################
- ag####tservice.net/index.php?em########################################
- de####mister.net/index.php?em########################################
- ni###mister.net/index.php?em########################################
- do###river.net/index.php?em########################################
- be###rdried.net/index.php?em########################################
- tr####rticle.net/index.php?em########################################
- st####article.net/index.php?em########################################
- ga####fifteen.net/index.php?em########################################
- be####fifteen.net/index.php?em########################################
- ga###rdried.net/index.php?em########################################
- st####fifteen.net/index.php?em########################################
- tr###dried.net/index.php?em########################################
- st###tdried.net/index.php?em########################################
- tr###angry.net/index.php?em########################################
- st###tangry.net/index.php?em########################################
- tr####ifteen.net/index.php?em########################################
- fl###angry.net/index.php?em########################################
- br####ifteen.net/index.php?em########################################
- fl####ifteen.net/index.php?em########################################
- br####rticle.net/index.php?em########################################
- fl####rticle.net/index.php?em########################################
- br###angry.net/index.php?em########################################
- be####article.net/index.php?em########################################
- ga###rangry.net/index.php?em########################################
- be###rangry.net/index.php?em########################################
- br###dried.net/index.php?em########################################
- fl###dried.net/index.php?em########################################
- ga####article.net/index.php?em########################################
UDP:
- DNS ASK do###mister.net
- DNS ASK ag####tmister.net
- DNS ASK se####article.net
- DNS ASK ag####tservice.net
- DNS ASK do####uppose.net
- DNS ASK ag####tsuppose.net
- DNS ASK se####fifteen.net
- DNS ASK qu####ifteen.net
- DNS ASK se###ndried.net
- DNS ASK qu####rticle.net
- DNS ASK se###nangry.net
- DNS ASK qu###angry.net
- DNS ASK de####service.net
- DNS ASK ni####ervice.net
- DNS ASK de####suppose.net
- DNS ASK la###mister.net
- DNS ASK de###eriver.net
- DNS ASK ni###river.net
- DNS ASK do###river.net
- DNS ASK ag####triver.net
- DNS ASK do####ervice.net
- DNS ASK ni####uppose.net
- DNS ASK de####mister.net
- DNS ASK ni###mister.net
- DNS ASK qu###dried.net
- DNS ASK be###rdried.net
- DNS ASK tr####rticle.net
- DNS ASK st####article.net
- DNS ASK ga####fifteen.net
- DNS ASK be####fifteen.net
- DNS ASK ga###rdried.net
- DNS ASK st####fifteen.net
- DNS ASK tr###dried.net
- DNS ASK st###tdried.net
- DNS ASK tr###angry.net
- DNS ASK st###tangry.net
- DNS ASK tr####ifteen.net
- DNS ASK fl###angry.net
- DNS ASK br####ifteen.net
- DNS ASK fl####ifteen.net
- DNS ASK br####rticle.net
- DNS ASK fl####rticle.net
- DNS ASK br###angry.net
- DNS ASK be####article.net
- DNS ASK ga###rangry.net
- DNS ASK be###rangry.net
- DNS ASK br###dried.net
- DNS ASK fl###dried.net
- DNS ASK ga####article.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
