Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Location Awareness UPnP IKE SNMP Controls' = '%APPDATA%\xjvfkrttuiq\ojcoxycgxtyk.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\xjvfkrttuiq\mnccelvflqa.exe' "%APPDATA%\xjvfkrttuiq\ojcoxycgxtyk.exe"
- '%APPDATA%\xjvfkrttuiq\ojcoxycgxtyk.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\xjvfkrttuiq\ojcoxycgxtyk.my
- %APPDATA%\xjvfkrttuiq\mnccelvflqa.exe
- %APPDATA%\xjvfkrttuiq\ojcoxycgxtyk.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\xjvfkrttuiq\ojcoxycgxtyk.exe
Network activity:
Connects to:
- 'ch###demand.net':80
- 'th###listen.net':80
- 'ch###shout.net':80
- 'th###demand.net':80
- 'ch###listen.net':80
- 'be###gshout.net':80
- 'ri###nshout.net':80
- 'th###bring.net':80
- 'ch###bring.net':80
- 'th###shout.net':80
- 'wi###nshout.net':80
- 'su####demand.net':80
- 'ef###tbring.net':80
- 'su###rshout.net':80
- 'wi####demand.net':80
- 'su###rbring.net':80
- 'wi###nbring.net':80
- 'su####listen.net':80
- 'wi####listen.net':80
- 'be####demand.net':80
- 'de####ybring.net':80
- 'hu####dshout.net':80
- 'de####ylisten.net':80
- 'li###ebring.net':80
- 'jo####yshout.net':80
- 'hu####dlisten.net':80
- 'jo####ylisten.net':80
- 'hu####ddemand.net':80
- 'jo####ydemand.net':80
- 'li####listen.net':80
- 'ri####listen.net':80
- 'be###gbring.net':80
- 'ri####demand.net':80
- 'be####listen.net':80
- 'ri###nbring.net':80
- 'li####demand.net':80
- 'de####ydemand.net':80
- 'li###eshout.net':80
- 'de####yshout.net':80
TCP:
HTTP GET requests:
- http://ch###demand.net/index.php?em#####################################
- http://th###listen.net/index.php?em#####################################
- http://ch###shout.net/index.php?em#####################################
- http://th###demand.net/index.php?em#####################################
- http://ch###listen.net/index.php?em#####################################
- http://be###gshout.net/index.php?em#####################################
- http://ri###nshout.net/index.php?em#####################################
- http://th###bring.net/index.php?em#####################################
- http://ch###bring.net/index.php?em#####################################
- http://th###shout.net/index.php?em#####################################
- http://wi###nshout.net/index.php?em#####################################
- http://su####demand.net/index.php?em#####################################
- http://ef###tbring.net/index.php?em#####################################
- http://su###rshout.net/index.php?em#####################################
- http://wi####demand.net/index.php?em#####################################
- http://su###rbring.net/index.php?em#####################################
- http://wi###nbring.net/index.php?em#####################################
- http://su####listen.net/index.php?em#####################################
- http://wi####listen.net/index.php?em#####################################
- http://be####demand.net/index.php?em#####################################
- http://de####ybring.net/index.php?em#####################################
- http://hu####dshout.net/index.php?em#####################################
- http://de####ylisten.net/index.php?em#####################################
- http://li###ebring.net/index.php?em#####################################
- http://jo####yshout.net/index.php?em#####################################
- http://hu####dlisten.net/index.php?em#####################################
- http://jo####ylisten.net/index.php?em#####################################
- http://hu####ddemand.net/index.php?em#####################################
- http://jo####ydemand.net/index.php?em#####################################
- http://li####listen.net/index.php?em#####################################
- http://ri####listen.net/index.php?em#####################################
- http://be###gbring.net/index.php?em#####################################
- http://ri####demand.net/index.php?em#####################################
- http://be####listen.net/index.php?em#####################################
- http://ri###nbring.net/index.php?em#####################################
- http://li####demand.net/index.php?em#####################################
- http://de####ydemand.net/index.php?em#####################################
- http://li###eshout.net/index.php?em#####################################
- http://de####yshout.net/index.php?em#####################################
UDP:
- DNS ASK ch###demand.net
- DNS ASK th###listen.net
- DNS ASK th###demand.net
- DNS ASK th###shout.net
- DNS ASK ch###shout.net
- DNS ASK be###gshout.net
- DNS ASK ri###nshout.net
- DNS ASK ch###bring.net
- DNS ASK ch###listen.net
- DNS ASK th###bring.net
- DNS ASK wi###nshout.net
- DNS ASK su####demand.net
- DNS ASK su###rshout.net
- DNS ASK th####hbring.net
- DNS ASK ef###tbring.net
- DNS ASK su###rbring.net
- DNS ASK wi###nbring.net
- DNS ASK wi####listen.net
- DNS ASK wi####demand.net
- DNS ASK su####listen.net
- DNS ASK de####ybring.net
- DNS ASK hu####dshout.net
- DNS ASK li###ebring.net
- DNS ASK li####listen.net
- DNS ASK de####ylisten.net
- DNS ASK hu####dlisten.net
- DNS ASK jo####ylisten.net
- DNS ASK jo####ydemand.net
- DNS ASK jo####yshout.net
- DNS ASK hu####ddemand.net
- DNS ASK ri####listen.net
- DNS ASK be###gbring.net
- DNS ASK be####listen.net
- DNS ASK be####demand.net
- DNS ASK ri####demand.net
- DNS ASK li####demand.net
- DNS ASK de####ydemand.net
- DNS ASK de####yshout.net
- DNS ASK ri###nbring.net
- DNS ASK li###eshout.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
