Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AuthIP Netlogon Center Assistant' = '%APPDATA%\bcutzjkdhtkhnkv\hzuzoobk.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\bcutzjkdhtkhnkv\daxwqtmxqwd.exe' "%APPDATA%\bcutzjkdhtkhnkv\hzuzoobk.exe"
- '%APPDATA%\bcutzjkdhtkhnkv\hzuzoobk.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\bcutzjkdhtkhnkv\hzuzoobk.hyd2
- %APPDATA%\bcutzjkdhtkhnkv\daxwqtmxqwd.exe
- %APPDATA%\bcutzjkdhtkhnkv\hzuzoobk.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\bcutzjkdhtkhnkv\daxwqtmxqwd.exe
- %APPDATA%\bcutzjkdhtkhnkv\hzuzoobk.exe
Network activity:
Connects to:
- 'ma####albright.net':80
- 'se####lbright.net':80
- 'ma####alinside.net':80
- 'se####linside.net':80
- 'ma####alinstead.net':80
- 'se####linstead.net':80
- 'ma####alexplain.net':80
- 'se####lexplain.net':80
- 'se###aready.net':80
- 'se####daughter.net':80
- 'la###people.net':80
- 'si###eready.net':80
- 'la####aughter.net':80
- 'se###abrown.net':80
- 'la###ready.net':80
- 'se####people.net':80
- 'la###brown.net':80
- 'pr####lyinside.net':80
- 'le####xplain.net':80
- 'fi####explain.net':80
- 'le###bright.net':80
- 'fi####bright.net':80
- 'su####tinside.net':80
- 'wi####inside.net':80
- 'le####nstead.net':80
- 'fi####instead.net':80
- 'fi####inside.net':80
- 'sw###bright.net':80
- 'pr####lyexplain.net':80
- 'sw###inside.net':80
- 'pr####lybright.net':80
- 'sw####nstead.net':80
- 'le###inside.net':80
- 'sw####xplain.net':80
- 'pr####lyinstead.net':80
TCP:
HTTP GET requests:
- ma####albright.net/forum/search.php?em########################################
- se####lbright.net/forum/search.php?em########################################
- ma####alinside.net/forum/search.php?em########################################
- se####linside.net/forum/search.php?em########################################
- ma####alinstead.net/forum/search.php?em########################################
- se####linstead.net/forum/search.php?em########################################
- ma####alexplain.net/forum/search.php?em########################################
- se####lexplain.net/forum/search.php?em########################################
- se###aready.net/forum/search.php?em########################################
- se####daughter.net/forum/search.php?em########################################
- la###people.net/forum/search.php?em########################################
- si###eready.net/forum/search.php?em########################################
- la####aughter.net/forum/search.php?em########################################
- se###abrown.net/forum/search.php?em########################################
- la###ready.net/forum/search.php?em########################################
- se####people.net/forum/search.php?em########################################
- la###brown.net/forum/search.php?em########################################
- pr####lyinside.net/forum/search.php?em########################################
- le####xplain.net/forum/search.php?em########################################
- fi####explain.net/forum/search.php?em########################################
- le###bright.net/forum/search.php?em########################################
- fi####bright.net/forum/search.php?em########################################
- su####tinside.net/forum/search.php?em########################################
- wi####inside.net/forum/search.php?em########################################
- le####nstead.net/forum/search.php?em########################################
- fi####instead.net/forum/search.php?em########################################
- fi####inside.net/forum/search.php?em########################################
- sw###bright.net/forum/search.php?em########################################
- pr####lyexplain.net/forum/search.php?em########################################
- sw###inside.net/forum/search.php?em########################################
- pr####lybright.net/forum/search.php?em########################################
- sw####nstead.net/forum/search.php?em########################################
- le###inside.net/forum/search.php?em########################################
- sw####xplain.net/forum/search.php?em########################################
- pr####lyinstead.net/forum/search.php?em########################################
UDP:
- DNS ASK se####linside.net
- DNS ASK ma####albright.net
- DNS ASK se###aready.net
- DNS ASK ma####alinside.net
- DNS ASK se####lbright.net
- DNS ASK ma####alinstead.net
- DNS ASK se####linstead.net
- DNS ASK ma####alexplain.net
- DNS ASK se####lexplain.net
- DNS ASK la####aughter.net
- DNS ASK se####daughter.net
- DNS ASK mo###rready.net
- DNS ASK si###eready.net
- DNS ASK la###people.net
- DNS ASK se###abrown.net
- DNS ASK la###ready.net
- DNS ASK se####people.net
- DNS ASK la###brown.net
- DNS ASK fi####bright.net
- DNS ASK le####xplain.net
- DNS ASK fi####inside.net
- DNS ASK le###bright.net
- DNS ASK fi####explain.net
- DNS ASK su####tinside.net
- DNS ASK wi####inside.net
- DNS ASK le####nstead.net
- DNS ASK fi####instead.net
- DNS ASK pr####lybright.net
- DNS ASK sw###bright.net
- DNS ASK pr####lyinside.net
- DNS ASK sw###inside.net
- DNS ASK pr####lyexplain.net
- DNS ASK sw####nstead.net
- DNS ASK le###inside.net
- DNS ASK sw####xplain.net
- DNS ASK pr####lyinstead.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
