Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Net.Tcp Instrumentation Secure Time' = '%APPDATA%\ufbgabrywcn\hzsxgzx.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\ufbgabrywcn\svjerxck.exe' "%APPDATA%\ufbgabrywcn\hzsxgzx.exe"
- '%APPDATA%\ufbgabrywcn\hzsxgzx.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\ufbgabrywcn\hzsxgzx.a2d
- %APPDATA%\ufbgabrywcn\svjerxck.exe
- %APPDATA%\ufbgabrywcn\hzsxgzx.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\ufbgabrywcn\svjerxck.exe
- %APPDATA%\ufbgabrywcn\hzsxgzx.exe
Network activity:
Connects to:
- 'fi####meeting.net':80
- 'th####meeting.net':80
- 'th####chance.net':80
- 'ri####nderstood.net':80
- 'fi####chance.net':80
- 'th#####nderstood.net':80
- 'pi####echance.net':80
- 'fi#####nderstood.net':80
- 'fi####twenty.net':80
- 'th####twenty.net':80
- 'wh####rchance.net':80
- 'ri###chance.net':80
- 'fo#####understood.net':80
- 'fo####ntwenty.net':80
- 'su#####nderstood.net':80
- 'ri###twenty.net':80
- 'wh#####understood.net':80
- 'wh####rtwenty.net':80
- 'wh####rmeeting.net':80
- 'ri####eeting.net':80
- 'ch#####nunderstood.net':80
- 'fa#####nderstood.net':80
- 'fa####twenty.net':80
- 'fa####meeting.net':80
- 'ch####entwenty.net':80
- 'en####hmeeting.net':80
- 'ei####twenty.net':80
- 'ei####meeting.net':80
- 'ei####chance.net':80
- 'en####hchance.net':80
- 'pi####etwenty.net':80
- 'ci####ttetwenty.net':80
- 'ci#####temeeting.net':80
- 'ci####ttechance.net':80
- 'pi####emeeting.net':80
- 'fa####chance.net':80
- 'ch####enmeeting.net':80
- 'ch####enchance.net':80
- 'pi#####understood.net':80
- 'ci#####teunderstood.net':80
- 'su####twenty.net':80
- 'en####halmost.net':80
- 'ei####reason.net':80
- 'ei####almost.net':80
- 'ch####envalue.net':80
- 'fa###yvalue.net':80
- 'ei###rvalue.net':80
- 'en####hvalue.net':80
- 'en####horderly.net':80
- 'en####hreason.net':80
- 'ei####orderly.net':80
- 'ci####ttevalue.net':80
- 'ch####enalmost.net':80
- 'pi####evalue.net':80
- 'pi####eorderly.net':80
- 'ci#####teorderly.net':80
- 'ch####enorderly.net':80
- 'fa####orderly.net':80
- 'fa####reason.net':80
- 'fa####almost.net':80
- 'ch####enreason.net':80
- 'ma####etwenty.net':80
- 'pe#####nderstood.net':80
- 'pe####twenty.net':80
- 'pe####meeting.net':80
- 'ma####emeeting.net':80
- 'su####meeting.net':80
- 'fo####nmeeting.net':80
- 'fo####nchance.net':80
- 'ma#####understood.net':80
- 'su####chance.net':80
- 'be####emeeting.net':80
- 'ex####twenty.net':80
- 'ex####meeting.net':80
- 'ex####chance.net':80
- 'be####echance.net':80
- 'pe####chance.net':80
- 'ma####echance.net':80
- 'be#####understood.net':80
- 'be####etwenty.net':80
- 'ex#####nderstood.net':80
TCP:
HTTP GET requests:
- fi####meeting.net/forum/search.php?em###################################
- th####meeting.net/forum/search.php?em###################################
- th####chance.net/forum/search.php?em###################################
- ri####nderstood.net/forum/search.php?em###################################
- fi####chance.net/forum/search.php?em###################################
- th#####nderstood.net/forum/search.php?em###################################
- pi####echance.net/forum/search.php?em###################################
- fi#####nderstood.net/forum/search.php?em###################################
- fi####twenty.net/forum/search.php?em###################################
- th####twenty.net/forum/search.php?em###################################
- wh####rchance.net/forum/search.php?em###################################
- ri###chance.net/forum/search.php?em###################################
- fo#####understood.net/forum/search.php?em###################################
- fo####ntwenty.net/forum/search.php?em###################################
- su#####nderstood.net/forum/search.php?em###################################
- ri###twenty.net/forum/search.php?em###################################
- wh#####understood.net/forum/search.php?em###################################
- wh####rtwenty.net/forum/search.php?em###################################
- wh####rmeeting.net/forum/search.php?em###################################
- ri####eeting.net/forum/search.php?em###################################
- ch#####nunderstood.net/forum/search.php?em###################################
- fa#####nderstood.net/forum/search.php?em###################################
- fa####twenty.net/forum/search.php?em###################################
- fa####meeting.net/forum/search.php?em###################################
- ch####entwenty.net/forum/search.php?em###################################
- en####hmeeting.net/forum/search.php?em###################################
- ei####twenty.net/forum/search.php?em###################################
- ei####meeting.net/forum/search.php?em###################################
- ei####chance.net/forum/search.php?em###################################
- en####hchance.net/forum/search.php?em###################################
- pi####etwenty.net/forum/search.php?em###################################
- ci####ttetwenty.net/forum/search.php?em###################################
- ci#####temeeting.net/forum/search.php?em###################################
- ci####ttechance.net/forum/search.php?em###################################
- pi####emeeting.net/forum/search.php?em###################################
- fa####chance.net/forum/search.php?em###################################
- ch####enmeeting.net/forum/search.php?em###################################
- ch####enchance.net/forum/search.php?em###################################
- pi#####understood.net/forum/search.php?em###################################
- ci#####teunderstood.net/forum/search.php?em###################################
- su####twenty.net/forum/search.php?em###################################
- en####halmost.net/forum/search.php?em###################################
- ei####reason.net/forum/search.php?em###################################
- ei####almost.net/forum/search.php?em###################################
- ch####envalue.net/forum/search.php?em###################################
- fa###yvalue.net/forum/search.php?em###################################
- ei###rvalue.net/forum/search.php?em###################################
- en####hvalue.net/forum/search.php?em###################################
- en####horderly.net/forum/search.php?em###################################
- en####hreason.net/forum/search.php?em###################################
- ei####orderly.net/forum/search.php?em###################################
- ci####ttevalue.net/forum/search.php?em###################################
- ch####enalmost.net/forum/search.php?em###################################
- pi####evalue.net/forum/search.php?em###################################
- pi####eorderly.net/forum/search.php?em###################################
- ci#####teorderly.net/forum/search.php?em###################################
- ch####enorderly.net/forum/search.php?em###################################
- fa####orderly.net/forum/search.php?em###################################
- fa####reason.net/forum/search.php?em###################################
- fa####almost.net/forum/search.php?em###################################
- ch####enreason.net/forum/search.php?em###################################
- ma####etwenty.net/forum/search.php?em###################################
- pe#####nderstood.net/forum/search.php?em###################################
- pe####twenty.net/forum/search.php?em###################################
- pe####meeting.net/forum/search.php?em###################################
- ma####emeeting.net/forum/search.php?em###################################
- su####meeting.net/forum/search.php?em###################################
- fo####nmeeting.net/forum/search.php?em###################################
- fo####nchance.net/forum/search.php?em###################################
- ma#####understood.net/forum/search.php?em###################################
- su####chance.net/forum/search.php?em###################################
- be####emeeting.net/forum/search.php?em###################################
- ex####twenty.net/forum/search.php?em###################################
- ex####meeting.net/forum/search.php?em###################################
- ex####chance.net/forum/search.php?em###################################
- be####echance.net/forum/search.php?em###################################
- pe####chance.net/forum/search.php?em###################################
- ma####echance.net/forum/search.php?em###################################
- be#####understood.net/forum/search.php?em###################################
- be####etwenty.net/forum/search.php?em###################################
- ex#####nderstood.net/forum/search.php?em###################################
UDP:
- DNS ASK fi####meeting.net
- DNS ASK th####meeting.net
- DNS ASK th####chance.net
- DNS ASK ri####nderstood.net
- DNS ASK fi####chance.net
- DNS ASK th#####nderstood.net
- DNS ASK pi####echance.net
- DNS ASK fi#####nderstood.net
- DNS ASK fi####twenty.net
- DNS ASK th####twenty.net
- DNS ASK wh####rchance.net
- DNS ASK ri###chance.net
- DNS ASK fo#####understood.net
- DNS ASK fo####ntwenty.net
- DNS ASK su#####nderstood.net
- DNS ASK ri###twenty.net
- DNS ASK wh#####understood.net
- DNS ASK wh####rtwenty.net
- DNS ASK wh####rmeeting.net
- DNS ASK ri####eeting.net
- DNS ASK ci####ttechance.net
- DNS ASK fa#####nderstood.net
- DNS ASK ei####chance.net
- DNS ASK ch#####nunderstood.net
- DNS ASK ch####entwenty.net
- DNS ASK fa####twenty.net
- DNS ASK ei####twenty.net
- DNS ASK en####htwenty.net
- DNS ASK en####hmeeting.net
- DNS ASK en####hchance.net
- DNS ASK ei####meeting.net
- DNS ASK ci####ttetwenty.net
- DNS ASK pi#####understood.net
- DNS ASK pi####etwenty.net
- DNS ASK pi####emeeting.net
- DNS ASK ci#####temeeting.net
- DNS ASK ch####enmeeting.net
- DNS ASK fa####meeting.net
- DNS ASK fa####chance.net
- DNS ASK ci#####teunderstood.net
- DNS ASK ch####enchance.net
- DNS ASK en####halmost.net
- DNS ASK ei####reason.net
- DNS ASK ei####almost.net
- DNS ASK ch####envalue.net
- DNS ASK fa###yvalue.net
- DNS ASK ei###rvalue.net
- DNS ASK en####hvalue.net
- DNS ASK en####horderly.net
- DNS ASK en####hreason.net
- DNS ASK ei####orderly.net
- DNS ASK ci####ttevalue.net
- DNS ASK ch####enalmost.net
- DNS ASK pi####evalue.net
- DNS ASK pi####eorderly.net
- DNS ASK ci#####teorderly.net
- DNS ASK ch####enorderly.net
- DNS ASK fa####orderly.net
- DNS ASK fa####reason.net
- DNS ASK fa####almost.net
- DNS ASK ch####enreason.net
- DNS ASK ex####chance.net
- DNS ASK pe#####nderstood.net
- DNS ASK ma#####understood.net
- DNS ASK ma####etwenty.net
- DNS ASK ma####emeeting.net
- DNS ASK pe####twenty.net
- DNS ASK fo####nmeeting.net
- DNS ASK su####twenty.net
- DNS ASK su####meeting.net
- DNS ASK su####chance.net
- DNS ASK fo####nchance.net
- DNS ASK ex####twenty.net
- DNS ASK be####etwenty.net
- DNS ASK be####emeeting.net
- DNS ASK be####echance.net
- DNS ASK ex####meeting.net
- DNS ASK ma####echance.net
- DNS ASK pe####meeting.net
- DNS ASK pe####chance.net
- DNS ASK ex#####nderstood.net
- DNS ASK be#####understood.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
