Technical Information
Malicious functions:
Creates and executes the following:
- '%TEMP%\nsl3.tmp\DC<Virus name>.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %TEMP%\nsl3.tmp\System.dll
- %TEMP%\nsl3.tmp\D1989.dll
- %TEMP%\nsl3.tmp\DC<Virus name>.exe
- %TEMP%\nsg2.tmp
- %TEMP%\nsl3.tmp\NK.lky
- %TEMP%\nsl3.tmp\2ED41433E87B3155
Deletes the following files:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Network activity:
Connects to:
- 'd1#######0c4u2.cloudfront.net':80
- 'd1#######d84jx.cloudfront.net':80
TCP:
HTTP GET requests:
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################
- d1#######d84jx.cloudfront.net/t.ashx?e=########################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=########################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=################################################################################################################################################################################################################################################################
- d1#######0c4u2.cloudfront.net/p.ashx?e=############################################################################################################################################################################################################################################################################################################################################
UDP:
- DNS ASK do######.ytdownloader.com
- DNS ASK d2#######oxd6o.cloudfront.net
- DNS ASK s3.###zonaws.com
- DNS ASK d1#######d84jx.cloudfront.net
- DNS ASK d1#######0c4u2.cloudfront.net
- DNS ASK d3#######lk71j.cloudfront.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'SB_download_btn' WindowName: 'SB Download Button'
- ClassName: '' WindowName: ''
- ClassName: '懢E' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '?E' WindowName: ''
