Technical Information
To ensure autorun and distribution:
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\usbhc] 'Start' = '00000002'
Malicious functions:
Executes the following:
- <SYSTEM32>\sc.exe create usbhc binPath= <DRIVERS>\usbhc.sys type= kernel start= auto DisplayName= usbhc
- <SYSTEM32>\sc.exe start usbhc
- <SYSTEM32>\sc.exe stop usbhc
- <SYSTEM32>\sc.exe delete usbhc
Modifies file system :
Creates the following files:
- <DRIVERS>\usbhc.sys
Network activity:
Connects to:
- 'aq###emp.org':80
- 'hj###sxp.org':80
- 'pg###ery.org':80
- 'cj###olu.com':80
- 'dl###whq.org':80
- 'po###dfo.org':80
- 'ug###ugr.org':80
- 'xi###iuy.org':80
- 'xd###sok.com':80
- 'dp###fnr.com':80
- 'iv###ryo.org':80
- 'gd###lcg.org':80
- 'sr###ljx.com':80
- 'pp###cxr.com':80
- 'yq###cyl.com':80
- 'bb###bfd.org':80
- 'xe###rbb.org':80
- 'cs###uav.com':80
- 'sr###ltq.org':80
- 'yi###wvo.com':80
- 'fh###tsj.org':80
- 'cv###iwx.org':80
- 'vm###spu.com':80
- 'lv###rxw.org':80
- 'pl###ntn.com':80
- 'cn###end.com':80
- 'vo###rho.org':80
- 'hm###qrp.org':80
- 'xd###bds.com':80
- 'aa###pnh.org':80
- 'hb###gqp.com':80
- 'xu###adn.org':80
- 'ly###cqe.org':80
- 'jb###vvq.org':80
- 'xt###kbf.com':80
- 'ed###sog.com':80
- 'me###gpe.org':80
- 'on###knm.org':80
- 'uq###kag.org':80
- 'ur###iwm.org':80
- 'xs###yat.org':80
- 'se###tmf.org':80
- 'rf###ghs.org':80
- 'mq###aok.com':80
- 'vh###fvq.org':80
- 'aj###bff.com':80
- 'em###kyt.com':80
- 'cv###hnr.org':80
- 'oq###qgy.org':80
- 'wr###xwd.com':80
- 'vn###rrg.org':80
- 'va###sbr.org':80
- 'pm###tjv.org':80
- 'bt###ggk.com':80
- 'ox###tqi.org':80
- 'tv###nrd.org':80
- 'tb###ivi.com':80
- 'rp###dvd.org':80
- 'ct###uib.com':80
- 'dc###yqk.com':80
- 'gd###mkl.org':80
- 'fl###cyu.com':80
- 'vd###had.org':80
- 'nk###woh.org':80
- 'jd###kie.org':80
- 'pq###pio.com':80
- 'br###adh.org':80
- 'uv###out.org':80
- 'tj###wyp.org':80
- 'qp###ivm.org':80
- 'ht###xbv.com':80
- 'll###fyx.org':80
- 'xy###lfr.org':80
- 'ye###fdl.org':80
- 'se###lnq.org':80
- 'hi###gnq.org':80
- 'yt###doh.com':80
- 'ph###fre.org':80
- 'ch###jgk.org':80
- 'mg###whx.org':80
- 'la###lmv.org':80
- 'qs###ite.org':80
- 'yd###iuv.org':80
- 'er###sqt.org':80
- 'pl###tkn.org':80
- 'iq###ibl.com':80
- 'ps###tqm.org':80
- 'oo###tcy.com':80
- 'lf###gri.org':80
- 'dx###adt.org':80
- 'qf###ifs.com':80
- 'qd###oji.org':80
- 'hl###qlx.com':80
- 'kj###bas.com':80
- 'ke###oxi.org':80
- 'wn###fmy.org':80
- 'bf###klc.org':80
- 'ss###lyq.com':80
- 'ah###cvp.org':80
- 'iv###snq.org':80
TCP:
HTTP GET requests:
- aq###emp.org/srv.php?&i###########################
- hj###sxp.org/srv.php?&i###########################
- pg###ery.org/srv.php?&i###########################
- cj###olu.com/srv.php?&i###########################
- dl###whq.org/srv.php?&i###########################
- po###dfo.org/srv.php?&i###########################
- ug###ugr.org/srv.php?&i###########################
- xi###iuy.org/srv.php?&i###########################
- xd###sok.com/srv.php?&i###########################
- dp###fnr.com/srv.php?&i###########################
- iv###ryo.org/srv.php?&i###########################
- gd###lcg.org/srv.php?&i###########################
- sr###ljx.com/srv.php?&i###########################
- pp###cxr.com/srv.php?&i###########################
- yq###cyl.com/srv.php?&i###########################
- bb###bfd.org/srv.php?&i###########################
- xe###rbb.org/srv.php?&i###########################
- cs###uav.com/srv.php?&i###########################
- sr###ltq.org/srv.php?&i###########################
- yi###wvo.com/srv.php?&i###########################
- fh###tsj.org/srv.php?&i###########################
- cv###iwx.org/srv.php?&i###########################
- vm###spu.com/srv.php?&i###########################
- lv###rxw.org/srv.php?&i###########################
- pl###ntn.com/srv.php?&i###########################
- cn###end.com/srv.php?&i###########################
- vo###rho.org/srv.php?&i###########################
- hm###qrp.org/srv.php?&i###########################
- xd###bds.com/srv.php?&i###########################
- aa###pnh.org/srv.php?&i###########################
- hb###gqp.com/srv.php?&i###########################
- xu###adn.org/srv.php?&i###########################
- ly###cqe.org/srv.php?&i###########################
- jb###vvq.org/srv.php?&i###########################
- xt###kbf.com/srv.php?&i###########################
- ed###sog.com/srv.php?&i###########################
- me###gpe.org/srv.php?&i###########################
- on###knm.org/srv.php?&i###########################
- uq###kag.org/srv.php?&i###########################
- ur###iwm.org/srv.php?&i###########################
- xs###yat.org/srv.php?&i###########################
- se###tmf.org/srv.php?&i###########################
- rf###ghs.org/srv.php?&i###########################
- mq###aok.com/srv.php?&i###########################
- vh###fvq.org/srv.php?&i###########################
- aj###bff.com/srv.php?&i###########################
- em###kyt.com/srv.php?&i###########################
- cv###hnr.org/srv.php?&i###########################
- oq###qgy.org/srv.php?&i###########################
- wr###xwd.com/srv.php?&i###########################
- vn###rrg.org/srv.php?&i###########################
- va###sbr.org/srv.php?&i###########################
- pm###tjv.org/srv.php?&i###########################
- bt###ggk.com/srv.php?&i###########################
- ox###tqi.org/srv.php?&i###########################
- tv###nrd.org/srv.php?&i###########################
- tb###ivi.com/srv.php?&i###########################
- rp###dvd.org/srv.php?&i###########################
- ct###uib.com/srv.php?&i###########################
- dc###yqk.com/srv.php?&i###########################
- gd###mkl.org/srv.php?&i###########################
- fl###cyu.com/srv.php?&i###########################
- vd###had.org/srv.php?&i###########################
- nk###woh.org/srv.php?&i###########################
- jd###kie.org/srv.php?&i###########################
- pq###pio.com/srv.php?&i###########################
- br###adh.org/srv.php?&i###########################
- uv###out.org/srv.php?&i###########################
- tj###wyp.org/srv.php?&i###########################
- qp###ivm.org/srv.php?&i###########################
- ht###xbv.com/srv.php?&i###########################
- ll###fyx.org/srv.php?&i###########################
- xy###lfr.org/srv.php?&i###########################
- ye###fdl.org/srv.php?&i###########################
- se###lnq.org/srv.php?&i###########################
- hi###gnq.org/srv.php?&i###########################
- yt###doh.com/srv.php?&i###########################
- ph###fre.org/srv.php?&i###########################
- ch###jgk.org/srv.php?&i###########################
- mg###whx.org/srv.php?&i###########################
- la###lmv.org/srv.php?&i###########################
- qs###ite.org/srv.php?&i###########################
- yd###iuv.org/srv.php?&i###########################
- er###sqt.org/srv.php?&i###########################
- pl###tkn.org/srv.php?&i###########################
- iq###ibl.com/srv.php?&i###########################
- ps###tqm.org/srv.php?&i###########################
- oo###tcy.com/srv.php?&i###########################
- lf###gri.org/srv.php?&i###########################
- dx###adt.org/srv.php?&i###########################
- qf###ifs.com/srv.php?&i###########################
- qd###oji.org/srv.php?&i###########################
- hl###qlx.com/srv.php?&i###########################
- kj###bas.com/srv.php?&i###########################
- ke###oxi.org/srv.php?&i###########################
- wn###fmy.org/srv.php?&i###########################
- bf###klc.org/srv.php?&i###########################
- ss###lyq.com/srv.php?&i###########################
- ah###cvp.org/srv.php?&i###########################
- iv###snq.org/srv.php?&i###########################
UDP:
- DNS ASK aq###emp.org
- DNS ASK hj###sxp.org
- DNS ASK pg###ery.org
- DNS ASK cj###olu.com
- DNS ASK dl###whq.org
- DNS ASK po###dfo.org
- DNS ASK ug###ugr.org
- DNS ASK xi###iuy.org
- DNS ASK xd###sok.com
- DNS ASK dp###fnr.com
- DNS ASK iv###ryo.org
- DNS ASK gd###lcg.org
- DNS ASK sr###ljx.com
- DNS ASK pp###cxr.com
- DNS ASK yq###cyl.com
- DNS ASK bb###bfd.org
- DNS ASK xe###rbb.org
- DNS ASK cs###uav.com
- DNS ASK sr###ltq.org
- DNS ASK yi###wvo.com
- DNS ASK fh###tsj.org
- DNS ASK cv###iwx.org
- DNS ASK vm###spu.com
- DNS ASK lv###rxw.org
- DNS ASK pl###ntn.com
- DNS ASK cn###end.com
- DNS ASK vo###rho.org
- DNS ASK hm###qrp.org
- DNS ASK xd###bds.com
- DNS ASK aa###pnh.org
- DNS ASK hb###gqp.com
- DNS ASK xu###adn.org
- DNS ASK ly###cqe.org
- DNS ASK jb###vvq.org
- DNS ASK xt###kbf.com
- DNS ASK ed###sog.com
- DNS ASK me###gpe.org
- DNS ASK on###knm.org
- DNS ASK uq###kag.org
- DNS ASK ur###iwm.org
- DNS ASK xs###yat.org
- DNS ASK se###tmf.org
- DNS ASK rf###ghs.org
- DNS ASK mq###aok.com
- DNS ASK vh###fvq.org
- DNS ASK aj###bff.com
- DNS ASK em###kyt.com
- DNS ASK cv###hnr.org
- DNS ASK oq###qgy.org
- DNS ASK wr###xwd.com
- DNS ASK vn###rrg.org
- DNS ASK va###sbr.org
- DNS ASK pm###tjv.org
- DNS ASK bt###ggk.com
- DNS ASK ox###tqi.org
- DNS ASK tv###nrd.org
- DNS ASK tb###ivi.com
- DNS ASK rp###dvd.org
- DNS ASK ct###uib.com
- DNS ASK dc###yqk.com
- DNS ASK gd###mkl.org
- DNS ASK fl###cyu.com
- DNS ASK vd###had.org
- DNS ASK nk###woh.org
- DNS ASK jd###kie.org
- DNS ASK pq###pio.com
- DNS ASK br###adh.org
- DNS ASK uv###out.org
- DNS ASK tj###wyp.org
- DNS ASK qp###ivm.org
- DNS ASK ht###xbv.com
- DNS ASK ll###fyx.org
- DNS ASK xy###lfr.org
- DNS ASK ye###fdl.org
- DNS ASK se###lnq.org
- DNS ASK hi###gnq.org
- DNS ASK yt###doh.com
- DNS ASK ph###fre.org
- DNS ASK ch###jgk.org
- DNS ASK mg###whx.org
- DNS ASK la###lmv.org
- DNS ASK qs###ite.org
- DNS ASK yd###iuv.org
- DNS ASK er###sqt.org
- DNS ASK pl###tkn.org
- DNS ASK iq###ibl.com
- DNS ASK ps###tqm.org
- DNS ASK oo###tcy.com
- DNS ASK lf###gri.org
- DNS ASK dx###adt.org
- DNS ASK qf###ifs.com
- DNS ASK qd###oji.org
- DNS ASK hl###qlx.com
- DNS ASK kj###bas.com
- DNS ASK ke###oxi.org
- DNS ASK wn###fmy.org
- DNS ASK bf###klc.org
- DNS ASK ss###lyq.com
- DNS ASK ah###cvp.org
- DNS ASK iv###snq.org
