Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Software Alerts Provider Driver' = '%APPDATA%\bgkdleugbapoc\wgincrymkjp.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\bgkdleugbapoc\tdzoohepra.exe' "%APPDATA%\bgkdleugbapoc\wgincrymkjp.exe"
- '%APPDATA%\bgkdleugbapoc\wgincrymkjp.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\bgkdleugbapoc\wgincrymkjp.ye
- %APPDATA%\bgkdleugbapoc\tdzoohepra.exe
- %APPDATA%\bgkdleugbapoc\wgincrymkjp.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\bgkdleugbapoc\tdzoohepra.exe
- %APPDATA%\bgkdleugbapoc\wgincrymkjp.exe
Network activity:
Connects to:
- 'ge####complete.net':80
- 'he####omplete.net':80
- 'va####swelcome.net':80
- 'va####saround.net':80
- 're####welcome.net':80
- 'he###around.net':80
- 'ge####welcome.net':80
- 'ge####around.net':80
- 'ge###eproud.net':80
- 'he###proud.net':80
- 'fo####dnature.net':80
- 'de####nature.net':80
- 'de####needle.net':80
- 'de####enough.net':80
- 'fo####dneedle.net':80
- 'va####sproud.net':80
- 're####around.net':80
- 're###nproud.net':80
- 're####complete.net':80
- 'va####scomplete.net':80
- 're####earound.net':80
- 'or###around.net':80
- 'or###proud.net':80
- 'or####omplete.net':80
- 're####eproud.net':80
- 'pl#####tcomplete.net':80
- 'ne####aryproud.net':80
- 'ne#####rycomplete.net':80
- 're####ewelcome.net':80
- 'or####elcome.net':80
- 'he###nproud.net':80
- 'le###rproud.net':80
- 'le####complete.net':80
- 'he####elcome.net':80
- 'he####complete.net':80
- 'le####welcome.net':80
- 're####ecomplete.net':80
- 'he####welcome.net':80
- 'he####around.net':80
- 'le####around.net':80
TCP:
HTTP GET requests:
- ge####complete.net/forum/search.php?em#########################################
- he####omplete.net/forum/search.php?em#########################################
- va####swelcome.net/forum/search.php?em#########################################
- va####saround.net/forum/search.php?em#########################################
- re####welcome.net/forum/search.php?em#########################################
- he###around.net/forum/search.php?em#########################################
- ge####welcome.net/forum/search.php?em#########################################
- ge####around.net/forum/search.php?em#########################################
- ge###eproud.net/forum/search.php?em#########################################
- he###proud.net/forum/search.php?em#########################################
- fo####dnature.net/forum/search.php?em#########################################
- de####nature.net/forum/search.php?em#########################################
- de####needle.net/forum/search.php?em#########################################
- de####enough.net/forum/search.php?em#########################################
- fo####dneedle.net/forum/search.php?em#########################################
- va####sproud.net/forum/search.php?em#########################################
- re####around.net/forum/search.php?em#########################################
- re###nproud.net/forum/search.php?em#########################################
- re####complete.net/forum/search.php?em#########################################
- va####scomplete.net/forum/search.php?em#########################################
- re####earound.net/forum/search.php?em#########################################
- or###around.net/forum/search.php?em#########################################
- or###proud.net/forum/search.php?em#########################################
- or####omplete.net/forum/search.php?em#########################################
- re####eproud.net/forum/search.php?em#########################################
- pl#####tcomplete.net/forum/search.php?em#########################################
- ne####aryproud.net/forum/search.php?em#########################################
- ne#####rycomplete.net/forum/search.php?em#########################################
- re####ewelcome.net/forum/search.php?em#########################################
- or####elcome.net/forum/search.php?em#########################################
- he###nproud.net/forum/search.php?em#########################################
- le###rproud.net/forum/search.php?em#########################################
- le####complete.net/forum/search.php?em#########################################
- he####elcome.net/forum/search.php?em#########################################
- he####complete.net/forum/search.php?em#########################################
- le####welcome.net/forum/search.php?em#########################################
- re####ecomplete.net/forum/search.php?em#########################################
- he####welcome.net/forum/search.php?em#########################################
- he####around.net/forum/search.php?em#########################################
- le####around.net/forum/search.php?em#########################################
UDP:
- DNS ASK va####swelcome.net
- DNS ASK ge####complete.net
- DNS ASK re####welcome.net
- DNS ASK re####around.net
- DNS ASK va####saround.net
- DNS ASK ge####around.net
- DNS ASK he###around.net
- DNS ASK he###proud.net
- DNS ASK he####omplete.net
- DNS ASK ge###eproud.net
- DNS ASK de####needle.net
- DNS ASK fo####dnature.net
- DNS ASK fo####dneedle.net
- DNS ASK fo####denough.net
- DNS ASK de####enough.net
- DNS ASK re###nproud.net
- DNS ASK va####sproud.net
- DNS ASK va####scomplete.net
- DNS ASK de####nature.net
- DNS ASK re####complete.net
- DNS ASK ge####welcome.net
- DNS ASK re####earound.net
- DNS ASK or###around.net
- DNS ASK or###proud.net
- DNS ASK or####omplete.net
- DNS ASK re####eproud.net
- DNS ASK pl#####tcomplete.net
- DNS ASK ne####aryproud.net
- DNS ASK ne#####rycomplete.net
- DNS ASK re####ewelcome.net
- DNS ASK or####elcome.net
- DNS ASK he###nproud.net
- DNS ASK le###rproud.net
- DNS ASK le####complete.net
- DNS ASK he####elcome.net
- DNS ASK he####complete.net
- DNS ASK le####welcome.net
- DNS ASK re####ecomplete.net
- DNS ASK he####welcome.net
- DNS ASK he####around.net
- DNS ASK le####around.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
