Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Telephony HomeGroup WebClient Windows Time' = '%APPDATA%\mvfpplrgqlzugw\uxckydt.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\mvfpplrgqlzugw\uotvwmvoyz.exe' "%APPDATA%\mvfpplrgqlzugw\uxckydt.exe"
- '%APPDATA%\mvfpplrgqlzugw\uxckydt.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\mvfpplrgqlzugw\uxckydt.ya
- %APPDATA%\mvfpplrgqlzugw\uotvwmvoyz.exe
- %APPDATA%\mvfpplrgqlzugw\uxckydt.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\mvfpplrgqlzugw\uxckydt.exe
Network activity:
Connects to:
- 'ex####enceclear.net':80
- 'fr####eneral.net':80
- 'fi###during.net':80
- 'fr###clear.net':80
- 'ex#####ncegeneral.net':80
- 'fr###north.net':80
- 'ex####encenorth.net':80
- 'fr####nclude.net':80
- 'ex#####nceinclude.net':80
- 'pa###during.net':80
- 'sm###during.net':80
- 'pa###length.net':80
- 'sm###indeed.net':80
- 'wo###during.net':80
- 'fi###length.net':80
- 'pa###indeed.net':80
- 'fi###indeed.net':80
- 'pa###notice.net':80
- 'fi###notice.net':80
- 'fo####include.net':80
- 'me####include.net':80
- 'fo####general.net':80
- 'me####general.net':80
- 'fo###wnorth.net':80
- 'kn###clear.net':80
- 'be####eneral.net':80
- 'me###rnorth.net':80
- 'be###clear.net':80
- 'me###rclear.net':80
- 'ge#####angeneral.net':80
- 'al####ygeneral.net':80
- 'ge####manclear.net':80
- 'al####yclear.net':80
- 'ge#####aninclude.net':80
- 'al####ynorth.net':80
- 'fo###wclear.net':80
- 'al####yinclude.net':80
- 'ge####mannorth.net':80
- 'kn###notice.net':80
- 'be###indeed.net':80
- 'kn###length.net':80
- 'be###notice.net':80
- 'kn###indeed.net':80
- 'su####length.net':80
- 'cr###length.net':80
- 'be###during.net':80
- 'kn###during.net':80
- 'be###length.net':80
- 'me####length.net':80
- 'fo####notice.net':80
- 'al####yduring.net':80
- 'fo####length.net':80
- 'me####notice.net':80
- 'fo####during.net':80
- 'me####during.net':80
- 'fo####indeed.net':80
- 'me####indeed.net':80
- 'th####tduring.net':80
- 'wa###during.net':80
- 'th####tindeed.net':80
- 'wa###indeed.net':80
- 'wo###length.net':80
- 'sm###notice.net':80
- 'wo###indeed.net':80
- 'sm###length.net':80
- 'wo###notice.net':80
- 'wa###notice.net':80
- 'su####indeed.net':80
- 'cr###indeed.net':80
- 'su####notice.net':80
- 'cr###notice.net':80
- 'su####during.net':80
- 'wa###length.net':80
- 'th####tnotice.net':80
- 'cr###during.net':80
- 'th####tlength.net':80
TCP:
HTTP GET requests:
- ex####enceclear.net/index.php?em#########################################
- fr####eneral.net/index.php?em#########################################
- fi###during.net/index.php?em#########################################
- fr###clear.net/index.php?em#########################################
- ex#####ncegeneral.net/index.php?em#########################################
- fr###north.net/index.php?em#########################################
- ex####encenorth.net/index.php?em#########################################
- fr####nclude.net/index.php?em#########################################
- ex#####nceinclude.net/index.php?em#########################################
- pa###during.net/index.php?em#########################################
- sm###during.net/index.php?em#########################################
- pa###length.net/index.php?em#########################################
- sm###indeed.net/index.php?em#########################################
- wo###during.net/index.php?em#########################################
- fi###length.net/index.php?em#########################################
- pa###indeed.net/index.php?em#########################################
- fi###indeed.net/index.php?em#########################################
- pa###notice.net/index.php?em#########################################
- fi###notice.net/index.php?em#########################################
- fo####include.net/index.php?em#########################################
- me####include.net/index.php?em#########################################
- fo####general.net/index.php?em#########################################
- me####general.net/index.php?em#########################################
- fo###wnorth.net/index.php?em#########################################
- kn###clear.net/index.php?em#########################################
- be####eneral.net/index.php?em#########################################
- me###rnorth.net/index.php?em#########################################
- be###clear.net/index.php?em#########################################
- me###rclear.net/index.php?em#########################################
- ge#####angeneral.net/index.php?em#########################################
- al####ygeneral.net/index.php?em#########################################
- ge####manclear.net/index.php?em#########################################
- al####yclear.net/index.php?em#########################################
- ge#####aninclude.net/index.php?em#########################################
- al####ynorth.net/index.php?em#########################################
- fo###wclear.net/index.php?em#########################################
- al####yinclude.net/index.php?em#########################################
- ge####mannorth.net/index.php?em#########################################
- kn###notice.net/index.php?em#########################################
- be###indeed.net/index.php?em#########################################
- kn###length.net/index.php?em#########################################
- be###notice.net/index.php?em#########################################
- kn###indeed.net/index.php?em#########################################
- su####length.net/index.php?em#########################################
- cr###length.net/index.php?em#########################################
- be###during.net/index.php?em#########################################
- kn###during.net/index.php?em#########################################
- be###length.net/index.php?em#########################################
- me####length.net/index.php?em#########################################
- fo####notice.net/index.php?em#########################################
- al####yduring.net/index.php?em#########################################
- fo####length.net/index.php?em#########################################
- me####notice.net/index.php?em#########################################
- fo####during.net/index.php?em#########################################
- me####during.net/index.php?em#########################################
- fo####indeed.net/index.php?em#########################################
- me####indeed.net/index.php?em#########################################
- th####tduring.net/index.php?em#########################################
- wa###during.net/index.php?em#########################################
- th####tindeed.net/index.php?em#########################################
- wa###indeed.net/index.php?em#########################################
- wo###length.net/index.php?em#########################################
- sm###notice.net/index.php?em#########################################
- wo###indeed.net/index.php?em#########################################
- sm###length.net/index.php?em#########################################
- wo###notice.net/index.php?em#########################################
- wa###notice.net/index.php?em#########################################
- su####indeed.net/index.php?em#########################################
- cr###indeed.net/index.php?em#########################################
- su####notice.net/index.php?em#########################################
- cr###notice.net/index.php?em#########################################
- su####during.net/index.php?em#########################################
- wa###length.net/index.php?em#########################################
- th####tnotice.net/index.php?em#########################################
- cr###during.net/index.php?em#########################################
- th####tlength.net/index.php?em#########################################
UDP:
- DNS ASK fr####eneral.net
- DNS ASK ex#####ncegeneral.net
- DNS ASK fr###clear.net
- DNS ASK ex####enceclear.net
- DNS ASK fr####nclude.net
- DNS ASK ex####encenorth.net
- DNS ASK ge####manclear.net
- DNS ASK ex#####nceinclude.net
- DNS ASK fr###north.net
- DNS ASK fi###during.net
- DNS ASK pa###length.net
- DNS ASK fi###length.net
- DNS ASK wo###during.net
- DNS ASK sm###during.net
- DNS ASK pa###notice.net
- DNS ASK fi###indeed.net
- DNS ASK pa###during.net
- DNS ASK fi###notice.net
- DNS ASK pa###indeed.net
- DNS ASK me####include.net
- DNS ASK fo###wnorth.net
- DNS ASK me####general.net
- DNS ASK fo####include.net
- DNS ASK me###rnorth.net
- DNS ASK be####eneral.net
- DNS ASK kn####eneral.net
- DNS ASK be###clear.net
- DNS ASK kn###clear.net
- DNS ASK fo####general.net
- DNS ASK al####ygeneral.net
- DNS ASK ge#####aninclude.net
- DNS ASK al####yclear.net
- DNS ASK ge#####angeneral.net
- DNS ASK al####yinclude.net
- DNS ASK fo###wclear.net
- DNS ASK me###rclear.net
- DNS ASK ge####mannorth.net
- DNS ASK al####ynorth.net
- DNS ASK sm###indeed.net
- DNS ASK kn###notice.net
- DNS ASK be###indeed.net
- DNS ASK kn###length.net
- DNS ASK be###notice.net
- DNS ASK kn###indeed.net
- DNS ASK su####length.net
- DNS ASK cr###length.net
- DNS ASK be###during.net
- DNS ASK kn###during.net
- DNS ASK be###length.net
- DNS ASK me####length.net
- DNS ASK fo####notice.net
- DNS ASK al####yduring.net
- DNS ASK fo####length.net
- DNS ASK me####notice.net
- DNS ASK fo####during.net
- DNS ASK me####during.net
- DNS ASK fo####indeed.net
- DNS ASK me####indeed.net
- DNS ASK th####tduring.net
- DNS ASK wa###during.net
- DNS ASK th####tindeed.net
- DNS ASK wa###indeed.net
- DNS ASK wo###length.net
- DNS ASK sm###notice.net
- DNS ASK wo###indeed.net
- DNS ASK sm###length.net
- DNS ASK wo###notice.net
- DNS ASK wa###notice.net
- DNS ASK su####indeed.net
- DNS ASK cr###indeed.net
- DNS ASK su####notice.net
- DNS ASK cr###notice.net
- DNS ASK su####during.net
- DNS ASK wa###length.net
- DNS ASK th####tnotice.net
- DNS ASK cr###during.net
- DNS ASK th####tlength.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
