Trojan.BtcMine.985

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = '%APPDATA%\dbu32.ocx,explorer.exe'

Malicious functions:

Executes the following:

'<SYSTEM32>\svchost.exe'

Injects code into

the following system processes:

Modifies file system:

Creates the following files:

%WINDIR%\ppgoiu.npw
%APPDATA%\dbu32.ocx
%ALLUSERSPROFILE%\Application Data\shqm\xpnet.rud
%WINDIR%\aazpq.kab

Moves the following files:

from <Full path to virus> to %TEMP%\1.tmp

Deletes itself.

Network activity:

Connects to:

'ln##frw.net':80
'sq###smskm.ru':80
'uc###nns.biz':80
'ou##wzx.biz':80
'ud##ut.org':80
'ap###frc.com':80
'un###vbxn.org':80
'md###wyy.info':80
'jg###fnd.biz':80
'uc###iwhrrj.com':80
'ng###hol.biz':80
'zp##ywo.net':80
'vs###woep.net':80
'kg##ko.org':80
'ab###xcgzr.ru':80
'hc###zixihc.ru':80
'ol###fmrtzm.org':80
'bl##xsi.biz':80
'uu##rhk.com':80
'ge###atsp.ru':80
'ue###fwk.com':80
'la###gaud.net':80
'nz###cgarq.net':80
'jj##ken.biz':80
'hm###zhlyl.ru':80
'qw###ezcxor.ru':80
'as##rj.info':80
'zl##wt.com':80
'bp##cqx.ru':80
'ij###pqhrro.ru':80

TCP:

HTTP POST requests:

http://ln##frw.net/rMEowH?Yv#############################################
http://ou##wzx.biz/icj1gf?Gk####################################################################
http://uc###nns.biz/2Ofpok?tG############################################################################################
http://sq###smskm.ru/t0yCfl?lh#############################################
http://ud##ut.org/kFIYix?kt##########################################################################################
http://qw###ezcxor.ru/jfLfhI?BU###############################################################################
http://un###vbxn.org/YEmXtW7je?Kg#############################
http://ap###frc.com/a4Wjnn?GS#############################################################################
http://jg###fnd.biz/GOZ05mo?pq###########################
http://zp##ywo.net/b4aOqh4yg?QW##############################
http://ng###hol.biz/pxbzm?ST##########################################################################
http://uc###iwhrrj.com/gf3hsX?Wi########################################################################
http://vs###woep.net/9bRqcp?Ke###########################
http://md###wyy.info/axtss?hK############################################
http://ab###xcgzr.ru/FeRyfW?EW#############################
http://kg##ko.org/bAw8ju?LX############################################
http://hm###zhlyl.ru/pIvJdV?us###############################
http://la###gaud.net/Cbz9kn?aF###############################
http://ue###fwk.com/nUY4ck8qm?tS##############################################
http://hc###zixihc.ru/856O41ip?Yp##########################################
http://uu##rhk.com/DjojgD?cJ#############################################################################
http://ge###atsp.ru/EsUisK?ub#############################
http://ge###atsp.ru/y1bGju?Wg##########################
http://ge###atsp.ru/O6u7?xi###################################
http://ge###atsp.ru/MTXjie?fP#######################################################################################
http://ij###pqhrro.ru/odWRjN?fO#################################################
http://bp##cqx.ru/84Qb8az?EA#######################################################
http://jj##ken.biz/Hs6Zlv5jf?RU##############################################################
http://as##rj.info/f5zbwF?cO############################
http://bl##xsi.biz/XXo8wc?Vn######################
http://ol###fmrtzm.org/1CBc5un?WV######################################################################
http://zl##wt.com/lwTJfI?gY######################################################
http://nz###cgarq.net/0elydV?Kt###############################################################