Technical Information
Malicious functions:
Creates and executes the following:
- '%TEMP%\Rami Hacked.ExE' (downloaded from the Internet)
Executes the following:
- '<SYSTEM32>\taskkill.exe' /F /IM Virtual PC.exe
- '<SYSTEM32>\taskkill.exe' /F /IM NVT Malware Remover.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Zone Alarm.exe
- '<SYSTEM32>\taskkill.exe' /F /IM AVG.exe
- '<SYSTEM32>\taskkill.exe' /F /IM IE Options.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ControlPanel.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Virtualbox.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Firewall.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Outpost.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Norman.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Anubis.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Hijackthis.exe
- '<SYSTEM32>\taskkill.exe' /F /IM KeyScramber.exe
- '<SYSTEM32>\taskkill.exe' /F /IM NOD32.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Bit Defender.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Kaspersky.exe
- '<SYSTEM32>\taskkill.exe' /F /IM H-Worm.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Indetectables RAT.exe
- '<SYSTEM32>\taskkill.exe' /F /IM CyberGate.exe
- '<SYSTEM32>\taskkill.exe' /F /IM DarkCometRAT.exe
- '<SYSTEM32>\taskkill.exe' /F /IM eset smart security.exe
- '%WINDIR%\XXInstall\ps.exe' --pid=3136 --managed --dump-dir="<ANALYSE_DIR>\DUMPS_NET" --log-dir="<ANALYSETOOLS_DIR>\DumpNet"
- '<SYSTEM32>\taskkill.exe' /F /IM XtremeRAT.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ollydbg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Nj Detect.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ProcessViewer.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Regedit.exe
- '<SYSTEM32>\taskkill.exe' /F /IM UAC.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Bifrost.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Bozok.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Resource Tuner.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Exe2Aut.exe
- '<SYSTEM32>\taskkill.exe' /F /IM mbam.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Rat Scanner By Mohammed Alsaady
- '<SYSTEM32>\taskkill.exe' /F /IM ProcessHacker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Procmon.exe
- '<SYSTEM32>\taskkill.exe' /F /IM AntiLogger Free.exe
- '<SYSTEM32>\taskkill.exe' /F /IM wireshark.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ScanRAT Multi-tools v2.2.exe
- '<SYSTEM32>\taskkill.exe' /F /IM [ iRaQ ] rat-scan v beta bY-KaDim-aLiRaQi.exe
- '<SYSTEM32>\taskkill.exe' /F /IM procexp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM apateDNS.exe
- '%TEMP%\Rami Hacked.ExE'
- '<SYSTEM32>\taskkill.exe' /F /IM SpyTheSpy.exe
- '<SYSTEM32>\taskkill.exe' /F /IM smsniff.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Tcpview.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cports.exe
- '<SYSTEM32>\taskkill.exe' /F /IM regshot.exe OLLYDBG.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ScanRAT v2.6 MultiToolsby fudmario.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SandboxieInstall.exe
- '<SYSTEM32>\taskkill.exe' /F /IM IPBlocker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM CodeReflect.exe
- '<SYSTEM32>\taskkill.exe' /F /IM taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Avira.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Spy The Spy_setup.exe
- '<SYSTEM32>\taskkill.exe' /F /IM NjratDetected.exe
- '<SYSTEM32>\taskkill.exe' /F /IM H-plus Remover.exe
- '<SYSTEM32>\taskkill.exe' /F /IM X-NetStat Professional.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SBIECTRL.exe
- '<SYSTEM32>\taskkill.exe' /F /IM njrat Cleaner Coded by GAITH7H3WOLF.exe
- '<SYSTEM32>\taskkill.exe' /F /IM speedgear.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Anti Malware.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Keyscrambler.exe
- '<SYSTEM32>\taskkill.exe' /F /IM xnc5.exe
Terminates or attempts to terminate
the following user processes:
- nod32.exe
- outpost.exe
Modifies file system:
Creates the following files:
- <ANALYSETOOLS_DIR>\DumpNet\CmdDotNetDumper.log
- %TEMP%\Rami Hacked.ExE
Network activity:
Connects to:
- 'www.up##ad.ee':80
- 'wp#d':80
TCP:
HTTP GET requests:
- http://www.up##ad.ee/download/5729465/72e20375253af965de2/StartUp.exe
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK www.up##ad.ee
- DNS ASK wp#d
Miscellaneous:
Searches for the following windows:
- ClassName: '' WindowName: ''
