Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Net.Tcp PnP-X Color Name Class Hardware' = '%APPDATA%\bgkiwabmdbr\nmwqofm.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\bgkiwabmdbr\honeuohqe.exe' "%APPDATA%\bgkiwabmdbr\nmwqofm.exe"
- '%APPDATA%\bgkiwabmdbr\nmwqofm.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\bgkiwabmdbr\nmwqofm.saw
- %APPDATA%\bgkiwabmdbr\honeuohqe.exe
- %APPDATA%\bgkiwabmdbr\nmwqofm.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\bgkiwabmdbr\nmwqofm.exe
Network activity:
Connects to:
- 'le####consider.net':80
- 'he####consider.net':80
- 'he###nfancy.net':80
- 'he####laughter.net':80
- 'le###rfancy.net':80
- 'ge###efancy.net':80
- 'ge####consider.net':80
- 'ge####laughter.net':80
- 'le####friend.net':80
- 'he####friend.net':80
- 'or###fancy.net':80
- 're####efancy.net':80
- 're####elaughter.net':80
- 'ne####aryfriend.net':80
- 'or####aughter.net':80
- 're####efriend.net':80
- 'le####laughter.net':80
- 'or###friend.net':80
- 'or####onsider.net':80
- 're####econsider.net':80
- 'de####safety.net':80
- 'fo####dsafety.net':80
- 'fo####dearly.net':80
- 'fo####dsmell.net':80
- 'de###eearly.net':80
- 'gl###smell.net':80
- 'an###rearly.net':80
- 'an###rsmell.net':80
- 'de####future.net':80
- 'fo####dfuture.net':80
- 'va####sfancy.net':80
- 're###nfancy.net':80
- 're####laughter.net':80
- 'ge####friend.net':80
- 'va####slaughter.net':80
- 're####friend.net':80
- 'de###esmell.net':80
- 'va####sfriend.net':80
- 'va####sconsider.net':80
- 're####consider.net':80
- 'pl####ntfriend.net':80
- 'fo####dfancy.net':80
- 'de####consider.net':80
- 'de###efancy.net':80
- 'de####laughter.net':80
- 'fo####dlaughter.net':80
- 'an####laughter.net':80
- 'gl####aughter.net':80
- 'fo####dfriend.net':80
- 'fo####dconsider.net':80
- 'de####friend.net':80
- 're###nhonor.net':80
- 'va####sneither.net':80
- 'va####shonor.net':80
- 'he###trust.net':80
- 'ge###etrust.net':80
- 'va####strust.net':80
- 're###ntrust.net':80
- 're####system.net':80
- 're####neither.net':80
- 'va####ssystem.net':80
- 'he###friend.net':80
- 'pl#####tlaughter.net':80
- 'di####ultfriend.net':80
- 'di#####ltconsider.net':80
- 'he####onsider.net':80
- 'pl#####tconsider.net':80
- 'ne#####ryconsider.net':80
- 'ne####aryfancy.net':80
- 'ne#####rylaughter.net':80
- 'pl####ntfancy.net':80
- 'gl####onsider.net':80
- 'an####friend.net':80
- 'an####consider.net':80
- 'an###rfancy.net':80
- 'gl###fancy.net':80
- 'di####ultfancy.net':80
- 'he###fancy.net':80
- 'he####aughter.net':80
- 'gl###friend.net':80
- 'di#####ltlaughter.net':80
TCP:
HTTP GET requests:
- http://le####consider.net/index.php?em#######################################
- http://he####consider.net/index.php?em#######################################
- http://he###nfancy.net/index.php?em#######################################
- http://he####laughter.net/index.php?em#######################################
- http://le###rfancy.net/index.php?em#######################################
- http://ge###efancy.net/index.php?em#######################################
- http://ge####consider.net/index.php?em#######################################
- http://ge####laughter.net/index.php?em#######################################
- http://le####friend.net/index.php?em#######################################
- http://he####friend.net/index.php?em#######################################
- http://or###fancy.net/index.php?em#######################################
- http://re####efancy.net/index.php?em#######################################
- http://re####elaughter.net/index.php?em#######################################
- http://ne####aryfriend.net/index.php?em#######################################
- http://or####aughter.net/index.php?em#######################################
- http://re####efriend.net/index.php?em#######################################
- http://le####laughter.net/index.php?em#######################################
- http://or###friend.net/index.php?em#######################################
- http://or####onsider.net/index.php?em#######################################
- http://re####econsider.net/index.php?em#######################################
- http://de####safety.net/index.php?em#######################################
- http://fo####dsafety.net/index.php?em#######################################
- http://fo####dearly.net/index.php?em#######################################
- http://fo####dsmell.net/index.php?em#######################################
- http://de###eearly.net/index.php?em#######################################
- http://gl###smell.net/index.php?em#######################################
- http://an###rearly.net/index.php?em#######################################
- http://an###rsmell.net/index.php?em#######################################
- http://de####future.net/index.php?em#######################################
- http://fo####dfuture.net/index.php?em#######################################
- http://va####sfancy.net/index.php?em#######################################
- http://re###nfancy.net/index.php?em#######################################
- http://re####laughter.net/index.php?em#######################################
- http://ge####friend.net/index.php?em#######################################
- http://va####slaughter.net/index.php?em#######################################
- http://re####friend.net/index.php?em#######################################
- http://de###esmell.net/index.php?em#######################################
- http://va####sfriend.net/index.php?em#######################################
- http://va####sconsider.net/index.php?em#######################################
- http://re####consider.net/index.php?em#######################################
- http://pl####ntfriend.net/index.php?em#######################################
- http://fo####dfancy.net/index.php?em#######################################
- http://de####consider.net/index.php?em#######################################
- http://de###efancy.net/index.php?em#######################################
- http://de####laughter.net/index.php?em#######################################
- http://fo####dlaughter.net/index.php?em#######################################
- http://an####laughter.net/index.php?em#######################################
- http://gl####aughter.net/index.php?em#######################################
- http://fo####dfriend.net/index.php?em#######################################
- http://fo####dconsider.net/index.php?em#######################################
- http://de####friend.net/index.php?em#######################################
- http://re###nhonor.net/index.php?em#######################################
- http://va####sneither.net/index.php?em#######################################
- http://va####shonor.net/index.php?em#######################################
- http://he###trust.net/index.php?em#######################################
- http://ge###etrust.net/index.php?em#######################################
- http://va####strust.net/index.php?em#######################################
- http://re###ntrust.net/index.php?em#######################################
- http://re####system.net/index.php?em#######################################
- http://re####neither.net/index.php?em#######################################
- http://va####ssystem.net/index.php?em#######################################
- http://he###friend.net/index.php?em#######################################
- http://pl#####tlaughter.net/index.php?em#######################################
- http://di####ultfriend.net/index.php?em#######################################
- http://di#####ltconsider.net/index.php?em#######################################
- http://he####onsider.net/index.php?em#######################################
- http://pl#####tconsider.net/index.php?em#######################################
- http://ne#####ryconsider.net/index.php?em#######################################
- http://ne####aryfancy.net/index.php?em#######################################
- http://ne#####rylaughter.net/index.php?em#######################################
- http://pl####ntfancy.net/index.php?em#######################################
- http://gl####onsider.net/index.php?em#######################################
- http://an####friend.net/index.php?em#######################################
- http://an####consider.net/index.php?em#######################################
- http://an###rfancy.net/index.php?em#######################################
- http://gl###fancy.net/index.php?em#######################################
- http://di####ultfancy.net/index.php?em#######################################
- http://he###fancy.net/index.php?em#######################################
- http://he####aughter.net/index.php?em#######################################
- http://gl###friend.net/index.php?em#######################################
- http://di#####ltlaughter.net/index.php?em#######################################
UDP:
- DNS ASK le####consider.net
- DNS ASK he####consider.net
- DNS ASK he###nfancy.net
- DNS ASK he####laughter.net
- DNS ASK le###rfancy.net
- DNS ASK ge###efancy.net
- DNS ASK ge####consider.net
- DNS ASK ge####laughter.net
- DNS ASK le####friend.net
- DNS ASK he####friend.net
- DNS ASK or###fancy.net
- DNS ASK re####efancy.net
- DNS ASK re####elaughter.net
- DNS ASK ne####aryfriend.net
- DNS ASK or####aughter.net
- DNS ASK re####efriend.net
- DNS ASK le####laughter.net
- DNS ASK or###friend.net
- DNS ASK or####onsider.net
- DNS ASK re####econsider.net
- DNS ASK de####safety.net
- DNS ASK fo####dsafety.net
- DNS ASK fo####dearly.net
- DNS ASK fo####dsmell.net
- DNS ASK de###eearly.net
- DNS ASK gl###smell.net
- DNS ASK an###rearly.net
- DNS ASK an###rsmell.net
- DNS ASK de####future.net
- DNS ASK fo####dfuture.net
- DNS ASK va####sfancy.net
- DNS ASK re###nfancy.net
- DNS ASK re####laughter.net
- DNS ASK ge####friend.net
- DNS ASK va####slaughter.net
- DNS ASK re####friend.net
- DNS ASK de###esmell.net
- DNS ASK va####sfriend.net
- DNS ASK va####sconsider.net
- DNS ASK re####consider.net
- DNS ASK pl####ntfriend.net
- DNS ASK fo####dfancy.net
- DNS ASK de####consider.net
- DNS ASK de###efancy.net
- DNS ASK de####laughter.net
- DNS ASK fo####dlaughter.net
- DNS ASK an####laughter.net
- DNS ASK gl####aughter.net
- DNS ASK fo####dfriend.net
- DNS ASK fo####dconsider.net
- DNS ASK de####friend.net
- DNS ASK re###nhonor.net
- DNS ASK va####sneither.net
- DNS ASK va####shonor.net
- DNS ASK he###trust.net
- DNS ASK ge###etrust.net
- DNS ASK va####strust.net
- DNS ASK re###ntrust.net
- DNS ASK re####system.net
- DNS ASK re####neither.net
- DNS ASK va####ssystem.net
- DNS ASK he###friend.net
- DNS ASK pl#####tlaughter.net
- DNS ASK di####ultfriend.net
- DNS ASK di#####ltconsider.net
- DNS ASK he####onsider.net
- DNS ASK pl#####tconsider.net
- DNS ASK ne#####ryconsider.net
- DNS ASK ne####aryfancy.net
- DNS ASK ne#####rylaughter.net
- DNS ASK pl####ntfancy.net
- DNS ASK gl####onsider.net
- DNS ASK an####friend.net
- DNS ASK an####consider.net
- DNS ASK an###rfancy.net
- DNS ASK gl###fancy.net
- DNS ASK di####ultfancy.net
- DNS ASK he###fancy.net
- DNS ASK he####aughter.net
- DNS ASK gl###friend.net
- DNS ASK di#####ltlaughter.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
