Trojan.DownLoader20.440

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Internet Windows Secure Auto Health Acquisition' = '<SYSTEM32>\yfbhobsp.exe'

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Store Compatibility Link CNG Font] 'ImagePath' = '<SYSTEM32>\yfbhobsp.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Store Compatibility Link CNG Font] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

'<SYSTEM32>\mhmxtksnb.exe' "<SYSTEM32>\yfbhobsp.exe"
'%WINDIR%\Temp\h7lq2v3hc5gwjk.exe' -r 37869 tcp
'%TEMP%\h7lq2v3cemgwjkvolodj.exe'
'<SYSTEM32>\yfbhobsp.exe'

Modifies file system:

Creates the following files:

<SYSTEM32>\fvpbmcezw\run
<SYSTEM32>\fvpbmcezw\rng
%WINDIR%\Temp\h7lq2v3hc5gwjk.exe
<SYSTEM32>\fvpbmcezw\cfg
<SYSTEM32>\mhmxtksnb.exe
%TEMP%\h7lq2v3cemgwjkvolodj.exe
<SYSTEM32>\fvpbmcezw\tst
<SYSTEM32>\yfbhobsp.exe
<SYSTEM32>\fvpbmcezw\etc

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\mhmxtksnb.exe
<SYSTEM32>\yfbhobsp.exe

Deletes the following files:

%WINDIR%\Temp\h7lq2v3hc5gwjk.exe
<DRIVERS>\etc\hosts
%TEMP%\h7lq2v3cemgwjkvolodj.exe

Substitutes the HOSTS file.

Network activity:

Connects to:

'fo###ocean.net':80
'af###ocean.net':80
'fo###have.net':80
'af###have.net':80
'fo###second.net':80
'af###hold.net':80
'we###ave.net':80
'af###second.net':80
'fo###hold.net':80
'se###old.net':80
'we####dayhave.net':80
'se###ave.net':80
'na###old.net':80
'dr###hold.net':80
'we####dayocean.net':80
'se###econd.net':80
'we####dayhold.net':80
'se###cean.net':80
'we####daysecond.net':80
'st###have.net':80
'mo###gray.net':80
'st###ocean.net':80
'bo###lain.net':80
'fr###yloss.net':80
'na###here.net':80
'fe###tate.net':80
'ab###ead.net':80
'mo###next.net':80
'lo###old.net':80
'wa###ord.net':80
'st###second.net':80
'we###old.net':80
'we###cean.net':80
'we###econd.net':80
'st###hold.net':80
'na###eep.com':80
'eg###aker.com':80
'wa###ave.net':80
'it###need.com':80

TCP:

HTTP GET requests:

http://fo###ocean.net/index.php?me################################################
http://af###ocean.net/index.php?me################################################
http://fo###have.net/index.php?me################################################
http://af###have.net/index.php?me################################################
http://fo###second.net/index.php?me################################################
http://af###hold.net/index.php?me################################################
http://we###ave.net/index.php?me################################################
http://af###second.net/index.php?me################################################
http://fo###hold.net/index.php?me################################################
http://se###old.net/index.php?me################################################
http://we####dayhave.net/index.php?me################################################
http://se###ave.net/index.php?me################################################
http://na###old.net/index.php?me################################################
http://dr###hold.net/index.php?me################################################
http://we####dayocean.net/index.php?me################################################
http://se###econd.net/index.php?me################################################
http://we####dayhold.net/index.php?me################################################
http://se###cean.net/index.php?me################################################
http://we####daysecond.net/index.php?me################################################
http://st###have.net/index.php?me################################################
http://mo###gray.net/index.php?me################################################
http://st###ocean.net/index.php?me################################################
http://bo###lain.net/index.php?me################################################
http://fr###yloss.net/index.php?me################################################
http://na###here.net/index.php?me################################################
http://fe###tate.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://mo###next.net/index.php?me################################################
http://lo###old.net/index.php?me################################################
http://wa###ord.net/index.php?me################################################
http://st###second.net/index.php?me################################################
http://we###old.net/index.php?me################################################
http://we###cean.net/index.php?me################################################
http://we###econd.net/index.php?me################################################
http://st###hold.net/index.php?me################################################
http://na###eep.com/index.php?me################################################
http://eg###aker.com/index.php?me################################################
http://wa###ave.net/index.php?me################################################
http://it###need.com/index.php?me################################################