Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Bluetooth Backup Socket Bus' = '%APPDATA%\jrfyahn\ctnhbjnr2dv.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\jrfyahn\tedwrp6qfjxb.exe' "%APPDATA%\jrfyahn\ctnhbjnr2dv.exe"
- '%APPDATA%\jrfyahn\ctnhbjnr2dv.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\jrfyahn\ctnhbjnr2dv.hxyx
- %APPDATA%\jrfyahn\tedwrp6qfjxb.exe
- %APPDATA%\jrfyahn\ctnhbjnr2dv.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\jrfyahn\ctnhbjnr2dv.exe
Network activity:
Connects to:
- 'ei####bottle.net':80
- 'en####hbottle.net':80
- 'ei####nothing.net':80
- 'en####hnothing.net':80
- 'ex####manner.net':80
- 'be####emanner.net':80
- 'ei####divide.net':80
- 'en####hdivide.net':80
- 'ch####enbottle.net':80
- 'fa####bottle.net':80
- 'ch####ennothing.net':80
- 'fa####nothing.net':80
- 'ei####stream.net':80
- 'en####hstream.net':80
- 'ch####endivide.net':80
- 'fa####divide.net':80
- 'ex####another.net':80
- 'ma####ebusiness.net':80
- 'pe####appear.net':80
- 'ma####eanother.net':80
- 'pe####business.net':80
- 'fo####nmanner.net':80
- 'su####another.net':80
- 'ma####eappear.net':80
- 'su####manner.net':80
- 'be####ebusiness.net':80
- 'ex####appear.net':80
- 'be####eanother.net':80
- 'ex####business.net':80
- 'ma####emanner.net':80
- 'pe####another.net':80
- 'be####eappear.net':80
- 'pe####manner.net':80
- 'ri####othing.net':80
- 'wh####rbottle.net':80
- 'ri###stream.net':80
- 'wh####rnothing.net':80
- 'ri###divide.net':80
- 'fi####stream.net':80
- 'ri###bottle.net':80
- 'wh####rdivide.net':80
- 'fo####nnothing.net':80
- 'su####bottle.net':80
- 'fo####nstream.net':80
- 'su####nothing.net':80
- 'fo####ndivide.net':80
- 'wh####rstream.net':80
- 'fo####nbottle.net':80
- 'su####divide.net':80
- 'th####stream.net':80
- 'pi####ebottle.net':80
- 'ci####ttebottle.net':80
- 'pi####enothing.net':80
- 'ci#####tenothing.net':80
- 'ch####enstream.net':80
- 'fa####stream.net':80
- 'pi####edivide.net':80
- 'ci####ttedivide.net':80
- 'fi####bottle.net':80
- 'th####bottle.net':80
- 'fi####nothing.net':80
- 'th####nothing.net':80
- 'pi####estream.net':80
- 'ci####ttestream.net':80
- 'fi####divide.net':80
- 'th####divide.net':80
TCP:
HTTP GET requests:
- http://ei####bottle.net/index.php?em####################################################################
- http://en####hbottle.net/index.php?em####################################################################
- http://ei####nothing.net/index.php?em####################################################################
- http://en####hnothing.net/index.php?em####################################################################
- http://ex####manner.net/index.php?em####################################################################
- http://be####emanner.net/index.php?em####################################################################
- http://ei####divide.net/index.php?em####################################################################
- http://en####hdivide.net/index.php?em####################################################################
- http://ch####enbottle.net/index.php?em####################################################################
- http://fa####bottle.net/index.php?em####################################################################
- http://ch####ennothing.net/index.php?em####################################################################
- http://fa####nothing.net/index.php?em####################################################################
- http://ei####stream.net/index.php?em####################################################################
- http://en####hstream.net/index.php?em####################################################################
- http://ch####endivide.net/index.php?em####################################################################
- http://fa####divide.net/index.php?em####################################################################
- http://ex####another.net/index.php?em####################################################################
- http://ma####ebusiness.net/index.php?em####################################################################
- http://pe####appear.net/index.php?em####################################################################
- http://ma####eanother.net/index.php?em####################################################################
- http://pe####business.net/index.php?em####################################################################
- http://fo####nmanner.net/index.php?em####################################################################
- http://su####another.net/index.php?em####################################################################
- http://ma####eappear.net/index.php?em####################################################################
- http://su####manner.net/index.php?em####################################################################
- http://be####ebusiness.net/index.php?em####################################################################
- http://ex####appear.net/index.php?em####################################################################
- http://be####eanother.net/index.php?em####################################################################
- http://ex####business.net/index.php?em####################################################################
- http://ma####emanner.net/index.php?em####################################################################
- http://pe####another.net/index.php?em####################################################################
- http://be####eappear.net/index.php?em####################################################################
- http://pe####manner.net/index.php?em####################################################################
- http://ri####othing.net/index.php?em####################################################################
- http://wh####rbottle.net/index.php?em####################################################################
- http://ri###stream.net/index.php?em####################################################################
- http://wh####rnothing.net/index.php?em####################################################################
- http://ri###divide.net/index.php?em####################################################################
- http://fi####stream.net/index.php?em####################################################################
- http://ri###bottle.net/index.php?em####################################################################
- http://wh####rdivide.net/index.php?em####################################################################
- http://fo####nnothing.net/index.php?em####################################################################
- http://su####bottle.net/index.php?em####################################################################
- http://fo####nstream.net/index.php?em####################################################################
- http://su####nothing.net/index.php?em####################################################################
- http://fo####ndivide.net/index.php?em####################################################################
- http://wh####rstream.net/index.php?em####################################################################
- http://fo####nbottle.net/index.php?em####################################################################
- http://su####divide.net/index.php?em####################################################################
- http://th####stream.net/index.php?em####################################################################
- http://pi####ebottle.net/index.php?em####################################################################
- http://ci####ttebottle.net/index.php?em####################################################################
- http://pi####enothing.net/index.php?em####################################################################
- http://ci#####tenothing.net/index.php?em####################################################################
- http://ch####enstream.net/index.php?em####################################################################
- http://fa####stream.net/index.php?em####################################################################
- http://pi####edivide.net/index.php?em####################################################################
- http://ci####ttedivide.net/index.php?em####################################################################
- http://fi####bottle.net/index.php?em####################################################################
- http://th####bottle.net/index.php?em####################################################################
- http://fi####nothing.net/index.php?em####################################################################
- http://th####nothing.net/index.php?em####################################################################
- http://pi####estream.net/index.php?em####################################################################
- http://ci####ttestream.net/index.php?em####################################################################
- http://fi####divide.net/index.php?em####################################################################
- http://th####divide.net/index.php?em####################################################################
UDP:
- DNS ASK en####hbottle.net
- DNS ASK ei####divide.net
- DNS ASK en####hnothing.net
- DNS ASK ei####bottle.net
- DNS ASK be####emanner.net
- DNS ASK ex####another.net
- DNS ASK en####hdivide.net
- DNS ASK ex####manner.net
- DNS ASK fa####bottle.net
- DNS ASK ch####endivide.net
- DNS ASK fa####nothing.net
- DNS ASK ch####enbottle.net
- DNS ASK en####hstream.net
- DNS ASK ei####nothing.net
- DNS ASK fa####divide.net
- DNS ASK ei####stream.net
- DNS ASK be####eanother.net
- DNS ASK pe####appear.net
- DNS ASK ma####eappear.net
- DNS ASK pe####business.net
- DNS ASK ma####ebusiness.net
- DNS ASK su####another.net
- DNS ASK fo####nanother.net
- DNS ASK su####manner.net
- DNS ASK fo####nmanner.net
- DNS ASK ex####appear.net
- DNS ASK be####eappear.net
- DNS ASK ex####business.net
- DNS ASK be####ebusiness.net
- DNS ASK pe####another.net
- DNS ASK ma####eanother.net
- DNS ASK pe####manner.net
- DNS ASK ma####emanner.net
- DNS ASK ch####ennothing.net
- DNS ASK ri####othing.net
- DNS ASK wh####rbottle.net
- DNS ASK ri###stream.net
- DNS ASK wh####rnothing.net
- DNS ASK ri###divide.net
- DNS ASK fi####stream.net
- DNS ASK ri###bottle.net
- DNS ASK wh####rdivide.net
- DNS ASK fo####nnothing.net
- DNS ASK su####bottle.net
- DNS ASK fo####nstream.net
- DNS ASK su####nothing.net
- DNS ASK fo####ndivide.net
- DNS ASK wh####rstream.net
- DNS ASK fo####nbottle.net
- DNS ASK su####divide.net
- DNS ASK th####stream.net
- DNS ASK pi####ebottle.net
- DNS ASK ci####ttebottle.net
- DNS ASK pi####enothing.net
- DNS ASK ci#####tenothing.net
- DNS ASK ch####enstream.net
- DNS ASK fa####stream.net
- DNS ASK pi####edivide.net
- DNS ASK ci####ttedivide.net
- DNS ASK fi####bottle.net
- DNS ASK th####bottle.net
- DNS ASK fi####nothing.net
- DNS ASK th####nothing.net
- DNS ASK pi####estream.net
- DNS ASK ci####ttestream.net
- DNS ASK fi####divide.net
- DNS ASK th####divide.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
