Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Net.Tcp Notification Registry Process' = '%APPDATA%\sthuqsq\lvksmqfnzkjx.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\sthuqsq\svucvdlytzzz.exe' "%APPDATA%\sthuqsq\lvksmqfnzkjx.exe"
- '%APPDATA%\sthuqsq\lvksmqfnzkjx.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\sthuqsq\lvksmqfnzkjx.jyybb
- %APPDATA%\sthuqsq\svucvdlytzzz.exe
- %APPDATA%\sthuqsq\lvksmqfnzkjx.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\sthuqsq\lvksmqfnzkjx.exe
Network activity:
Connects to:
- 'fa####realize.net':80
- 'ch####enrealize.net':80
- 'ei###rshore.net':80
- 'ei####written.net':80
- 'en####hshore.net':80
- 'fa####dollar.net':80
- 'fa###yshore.net':80
- 'ch####enshore.net':80
- 'ch####enwritten.net':80
- 'ch####endollar.net':80
- 'fa####written.net':80
- 'ex####ladder.net':80
- 'be#####character.net':80
- 'be####eladder.net':80
- 'be####eboard.net':80
- 'ex###tboard.net':80
- 'ex####character.net':80
- 'ei####dollar.net':80
- 'en####hwritten.net':80
- 'en####hdollar.net':80
- 'en####hrealize.net':80
- 'ei####realize.net':80
- 'th###hshore.net':80
- 'fi###eshore.net':80
- 'fi####written.net':80
- 'fi####dollar.net':80
- 'th####written.net':80
- 'ri####ealize.net':80
- 'ri####ritten.net':80
- 'wh####rwritten.net':80
- 'wh####rdollar.net':80
- 'wh####rrealize.net':80
- 'ri###dollar.net':80
- 'pi####edollar.net':80
- 'ci#####tewritten.net':80
- 'ci####ttedollar.net':80
- 'ci#####terealize.net':80
- 'pi####erealize.net':80
- 'pi####ewritten.net':80
- 'fi####realize.net':80
- 'th####dollar.net':80
- 'th####realize.net':80
- 'ci####tteshore.net':80
- 'pi####eshore.net':80
TCP:
HTTP GET requests:
- http://fa####realize.net/index.php?em#################################################
- http://ch####enrealize.net/index.php?em#################################################
- http://ei###rshore.net/index.php?em#################################################
- http://ei####written.net/index.php?em#################################################
- http://en####hshore.net/index.php?em#################################################
- http://fa####dollar.net/index.php?em#################################################
- http://fa###yshore.net/index.php?em#################################################
- http://ch####enshore.net/index.php?em#################################################
- http://ch####enwritten.net/index.php?em#################################################
- http://ch####endollar.net/index.php?em#################################################
- http://fa####written.net/index.php?em#################################################
- http://ex####ladder.net/index.php?em#################################################
- http://be#####character.net/index.php?em#################################################
- http://be####eladder.net/index.php?em#################################################
- http://be####eboard.net/index.php?em#################################################
- http://ex###tboard.net/index.php?em#################################################
- http://ex####character.net/index.php?em#################################################
- http://ei####dollar.net/index.php?em#################################################
- http://en####hwritten.net/index.php?em#################################################
- http://en####hdollar.net/index.php?em#################################################
- http://en####hrealize.net/index.php?em#################################################
- http://ei####realize.net/index.php?em#################################################
- http://th###hshore.net/index.php?em#################################################
- http://fi###eshore.net/index.php?em#################################################
- http://fi####written.net/index.php?em#################################################
- http://fi####dollar.net/index.php?em#################################################
- http://th####written.net/index.php?em#################################################
- http://ri####ealize.net/index.php?em#################################################
- http://ri####ritten.net/index.php?em#################################################
- http://wh####rwritten.net/index.php?em#################################################
- http://wh####rdollar.net/index.php?em#################################################
- http://wh####rrealize.net/index.php?em#################################################
- http://ri###dollar.net/index.php?em#################################################
- http://pi####edollar.net/index.php?em#################################################
- http://ci#####tewritten.net/index.php?em#################################################
- http://ci####ttedollar.net/index.php?em#################################################
- http://ci#####terealize.net/index.php?em#################################################
- http://pi####erealize.net/index.php?em#################################################
- http://pi####ewritten.net/index.php?em#################################################
- http://fi####realize.net/index.php?em#################################################
- http://th####dollar.net/index.php?em#################################################
- http://th####realize.net/index.php?em#################################################
- http://ci####tteshore.net/index.php?em#################################################
- http://pi####eshore.net/index.php?em#################################################
UDP:
- DNS ASK ei###rshore.net
- DNS ASK fa####realize.net
- DNS ASK en####hshore.net
- DNS ASK en####hwritten.net
- DNS ASK ei####written.net
- DNS ASK ch####enrealize.net
- DNS ASK ch####enwritten.net
- DNS ASK fa###yshore.net
- DNS ASK fa####written.net
- DNS ASK fa####dollar.net
- DNS ASK ch####endollar.net
- DNS ASK be####eladder.net
- DNS ASK ex####ladder.net
- DNS ASK ex###tboard.net
- DNS ASK ex###tenter.net
- DNS ASK be####eboard.net
- DNS ASK be#####character.net
- DNS ASK en####hdollar.net
- DNS ASK ei####dollar.net
- DNS ASK ei####realize.net
- DNS ASK ex####character.net
- DNS ASK en####hrealize.net
- DNS ASK ch####enshore.net
- DNS ASK th###hshore.net
- DNS ASK fi###eshore.net
- DNS ASK fi####written.net
- DNS ASK fi####dollar.net
- DNS ASK th####written.net
- DNS ASK ri####ealize.net
- DNS ASK ri####ritten.net
- DNS ASK wh####rwritten.net
- DNS ASK wh####rdollar.net
- DNS ASK wh####rrealize.net
- DNS ASK ri###dollar.net
- DNS ASK pi####edollar.net
- DNS ASK ci#####tewritten.net
- DNS ASK ci####ttedollar.net
- DNS ASK ci#####terealize.net
- DNS ASK pi####erealize.net
- DNS ASK pi####ewritten.net
- DNS ASK fi####realize.net
- DNS ASK th####dollar.net
- DNS ASK th####realize.net
- DNS ASK ci####tteshore.net
- DNS ASK pi####eshore.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
