Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HomeGroup Sharing Collector CardSpace Port' = '%APPDATA%\ncdviodmbuzbti\ayjarrste.exe'
Malicious functions:
Executes the following:
- '%APPDATA%\ncdviodmbuzbti\tkqsohnhb.exe' "%APPDATA%\ncdviodmbuzbti\ayjarrste.exe"
- '%APPDATA%\ncdviodmbuzbti\ayjarrste.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\ncdviodmbuzbti\ayjarrste.znikn
- %APPDATA%\ncdviodmbuzbti\tkqsohnhb.exe
- %APPDATA%\ncdviodmbuzbti\ayjarrste.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\ncdviodmbuzbti\tkqsohnhb.exe
- %APPDATA%\ncdviodmbuzbti\ayjarrste.exe
Network activity:
Connects to:
- 'mo####discover.net':80
- 'si####discover.net':80
- 'mo####wonder.net':80
- 'mo#####ncontinue.net':80
- 'po####lemaster.net':80
- 'mo####inmaster.net':80
- 'po#####econtinue.net':80
- 'si####wonder.net':80
- 'la####iscover.net':80
- 'se####discover.net':80
- 'la###wonder.net':80
- 'si####continue.net':80
- 'mo####master.net':80
- 'si####master.net':80
- 'mo####continue.net':80
- 'mo####inwonder.net':80
- 'wi####discover.net':80
- 'pe####sdiscover.net':80
- 'wi####wonder.net':80
- 'su####tcontinue.net':80
- 'su####tdiscover.net':80
- 'su####twonder.net':80
- 'su####tmaster.net':80
- 'pe####swonder.net':80
- 'po#####ediscover.net':80
- 'mo#####ndiscover.net':80
- 'po####lewonder.net':80
- 'pe####scontinue.net':80
- 'wi####master.net':80
- 'pe####smaster.net':80
- 'wi####continue.net':80
- 'sw###strong.net':80
- 'le###caught.net':80
- 'fi####caught.net':80
- 'pr####lystrong.net':80
- 'sw####resident.net':80
- 'pr####lytrouble.net':80
- 'sw####rouble.net':80
- 'le####resident.net':80
- 'fi####strong.net':80
- 'su####tcaught.net':80
- 'wi####caught.net':80
- 'le###strong.net':80
- 'fi####president.net':80
- 'le####rouble.net':80
- 'fi####trouble.net':80
- 'pr#####ypresident.net':80
- 'se####continue.net':80
- 'ma####alcaught.net':80
- 'se####lcaught.net':80
- 'la####ontinue.net':80
- 'se####wonder.net':80
- 'la###master.net':80
- 'se####master.net':80
- 'ma#####lpresident.net':80
- 'se####lstrong.net':80
- 'pr####lycaught.net':80
- 'sw###caught.net':80
- 'ma####alstrong.net':80
- 'se#####president.net':80
- 'ma####altrouble.net':80
- 'se####ltrouble.net':80
TCP:
HTTP GET requests:
- http://mo####discover.net/forum/search.php?em###############################################
- http://si####discover.net/forum/search.php?em###############################################
- http://mo####wonder.net/forum/search.php?em###############################################
- http://mo#####ncontinue.net/forum/search.php?em###############################################
- http://po####lemaster.net/forum/search.php?em###############################################
- http://mo####inmaster.net/forum/search.php?em###############################################
- http://po#####econtinue.net/forum/search.php?em###############################################
- http://si####wonder.net/forum/search.php?em###############################################
- http://la####iscover.net/forum/search.php?em###############################################
- http://se####discover.net/forum/search.php?em###############################################
- http://la###wonder.net/forum/search.php?em###############################################
- http://si####continue.net/forum/search.php?em###############################################
- http://mo####master.net/forum/search.php?em###############################################
- http://si####master.net/forum/search.php?em###############################################
- http://mo####continue.net/forum/search.php?em###############################################
- http://mo####inwonder.net/forum/search.php?em###############################################
- http://wi####discover.net/forum/search.php?em###############################################
- http://pe####sdiscover.net/forum/search.php?em###############################################
- http://wi####wonder.net/forum/search.php?em###############################################
- http://su####tcontinue.net/forum/search.php?em###############################################
- http://su####tdiscover.net/forum/search.php?em###############################################
- http://su####twonder.net/forum/search.php?em###############################################
- http://su####tmaster.net/forum/search.php?em###############################################
- http://pe####swonder.net/forum/search.php?em###############################################
- http://po#####ediscover.net/forum/search.php?em###############################################
- http://mo#####ndiscover.net/forum/search.php?em###############################################
- http://po####lewonder.net/forum/search.php?em###############################################
- http://pe####scontinue.net/forum/search.php?em###############################################
- http://wi####master.net/forum/search.php?em###############################################
- http://pe####smaster.net/forum/search.php?em###############################################
- http://wi####continue.net/forum/search.php?em###############################################
- http://sw###strong.net/forum/search.php?em###############################################
- http://le###caught.net/forum/search.php?em###############################################
- http://fi####caught.net/forum/search.php?em###############################################
- http://pr####lystrong.net/forum/search.php?em###############################################
- http://sw####resident.net/forum/search.php?em###############################################
- http://pr####lytrouble.net/forum/search.php?em###############################################
- http://sw####rouble.net/forum/search.php?em###############################################
- http://le####resident.net/forum/search.php?em###############################################
- http://fi####strong.net/forum/search.php?em###############################################
- http://su####tcaught.net/forum/search.php?em###############################################
- http://wi####caught.net/forum/search.php?em###############################################
- http://le###strong.net/forum/search.php?em###############################################
- http://fi####president.net/forum/search.php?em###############################################
- http://le####rouble.net/forum/search.php?em###############################################
- http://fi####trouble.net/forum/search.php?em###############################################
- http://pr#####ypresident.net/forum/search.php?em###############################################
- http://se####continue.net/forum/search.php?em###############################################
- http://ma####alcaught.net/forum/search.php?em###############################################
- http://se####lcaught.net/forum/search.php?em###############################################
- http://la####ontinue.net/forum/search.php?em###############################################
- http://se####wonder.net/forum/search.php?em###############################################
- http://la###master.net/forum/search.php?em###############################################
- http://se####master.net/forum/search.php?em###############################################
- http://ma#####lpresident.net/forum/search.php?em###############################################
- http://se####lstrong.net/forum/search.php?em###############################################
- http://pr####lycaught.net/forum/search.php?em###############################################
- http://sw###caught.net/forum/search.php?em###############################################
- http://ma####alstrong.net/forum/search.php?em###############################################
- http://se#####president.net/forum/search.php?em###############################################
- http://ma####altrouble.net/forum/search.php?em###############################################
- http://se####ltrouble.net/forum/search.php?em###############################################
UDP:
- DNS ASK mo####discover.net
- DNS ASK si####discover.net
- DNS ASK mo####wonder.net
- DNS ASK mo#####ncontinue.net
- DNS ASK po####lemaster.net
- DNS ASK mo####inmaster.net
- DNS ASK po#####econtinue.net
- DNS ASK si####wonder.net
- DNS ASK la####iscover.net
- DNS ASK se####discover.net
- DNS ASK la###wonder.net
- DNS ASK si####continue.net
- DNS ASK mo####master.net
- DNS ASK si####master.net
- DNS ASK mo####continue.net
- DNS ASK mo####inwonder.net
- DNS ASK wi####discover.net
- DNS ASK pe####sdiscover.net
- DNS ASK wi####wonder.net
- DNS ASK su####tcontinue.net
- DNS ASK su####tdiscover.net
- DNS ASK su####twonder.net
- DNS ASK su####tmaster.net
- DNS ASK pe####swonder.net
- DNS ASK po#####ediscover.net
- DNS ASK mo#####ndiscover.net
- DNS ASK po####lewonder.net
- DNS ASK pe####scontinue.net
- DNS ASK wi####master.net
- DNS ASK pe####smaster.net
- DNS ASK wi####continue.net
- DNS ASK sw###strong.net
- DNS ASK le###caught.net
- DNS ASK fi####caught.net
- DNS ASK pr####lystrong.net
- DNS ASK sw####resident.net
- DNS ASK pr####lytrouble.net
- DNS ASK sw####rouble.net
- DNS ASK le####resident.net
- DNS ASK fi####strong.net
- DNS ASK su####tcaught.net
- DNS ASK wi####caught.net
- DNS ASK le###strong.net
- DNS ASK fi####president.net
- DNS ASK le####rouble.net
- DNS ASK fi####trouble.net
- DNS ASK pr#####ypresident.net
- DNS ASK se####continue.net
- DNS ASK ma####alcaught.net
- DNS ASK se####lcaught.net
- DNS ASK la####ontinue.net
- DNS ASK se####wonder.net
- DNS ASK la###master.net
- DNS ASK se####master.net
- DNS ASK ma#####lpresident.net
- DNS ASK se####lstrong.net
- DNS ASK pr####lycaught.net
- DNS ASK sw###caught.net
- DNS ASK ma####alstrong.net
- DNS ASK se#####president.net
- DNS ASK ma####altrouble.net
- DNS ASK se####ltrouble.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
