Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RPC Background Keying Security AuthIP' = '%APPDATA%\duuotdqhurejpeg\bxoxaxncxj.exe'
Malicious functions:
Executes the following:
- '%APPDATA%\duuotdqhurejpeg\jfblabxtlw.exe' "%APPDATA%\duuotdqhurejpeg\bxoxaxncxj.exe"
- '%APPDATA%\duuotdqhurejpeg\bxoxaxncxj.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\duuotdqhurejpeg\bxoxaxncxj.fok
- %APPDATA%\duuotdqhurejpeg\jfblabxtlw.exe
- %APPDATA%\duuotdqhurejpeg\bxoxaxncxj.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\duuotdqhurejpeg\bxoxaxncxj.exe
Network activity:
Connects to:
- 'we####rvalley.net':80
- 'am###tlabor.net':80
- 'we####rlabor.net':80
- 'am####sister.net':80
- 'we####rsister.net':80
- 'am####valley.net':80
- 'th###silver.net':80
- 'th###valley.net':80
- 'cl###valley.net':80
- 'th###labor.net':80
- 'cl###silver.net':80
- 'th###sister.net':80
- 'cl###sister.net':80
- 'st####esilver.net':80
- 'hi####ysilver.net':80
- 'st####esister.net':80
- 'mo####gvalley.net':80
- 'ra###rlabor.net':80
- 'mo####glabor.net':80
- 'hi####ysister.net':80
- 'hi####ylabor.net':80
- 'am####silver.net':80
- 'we####rsilver.net':80
- 'st####evalley.net':80
- 'hi####yvalley.net':80
- 'st####elabor.net':80
TCP:
HTTP GET requests:
- http://we####rvalley.net/index.php?em#################################################
- http://am###tlabor.net/index.php?em#################################################
- http://we####rlabor.net/index.php?em#################################################
- http://am####sister.net/index.php?em#################################################
- http://we####rsister.net/index.php?em#################################################
- http://am####valley.net/index.php?em#################################################
- http://th###silver.net/index.php?em#################################################
- http://th###valley.net/index.php?em#################################################
- http://cl###valley.net/index.php?em#################################################
- http://th###labor.net/index.php?em#################################################
- http://cl###silver.net/index.php?em#################################################
- http://th###sister.net/index.php?em#################################################
- http://cl###sister.net/index.php?em#################################################
- http://st####esilver.net/index.php?em#################################################
- http://hi####ysilver.net/index.php?em#################################################
- http://st####esister.net/index.php?em#################################################
- http://mo####gvalley.net/index.php?em#################################################
- http://ra###rlabor.net/index.php?em#################################################
- http://mo####glabor.net/index.php?em#################################################
- http://hi####ysister.net/index.php?em#################################################
- http://hi####ylabor.net/index.php?em#################################################
- http://am####silver.net/index.php?em#################################################
- http://we####rsilver.net/index.php?em#################################################
- http://st####evalley.net/index.php?em#################################################
- http://hi####yvalley.net/index.php?em#################################################
- http://st####elabor.net/index.php?em#################################################
UDP:
- DNS ASK we####rvalley.net
- DNS ASK am###tlabor.net
- DNS ASK we####rlabor.net
- DNS ASK am####sister.net
- DNS ASK we####rsister.net
- DNS ASK am####valley.net
- DNS ASK th###silver.net
- DNS ASK th###valley.net
- DNS ASK cl###valley.net
- DNS ASK th###labor.net
- DNS ASK cl###silver.net
- DNS ASK th###sister.net
- DNS ASK cl###sister.net
- DNS ASK st####esilver.net
- DNS ASK hi####ysilver.net
- DNS ASK st####esister.net
- DNS ASK mo####gvalley.net
- DNS ASK ra###rlabor.net
- DNS ASK mo####glabor.net
- DNS ASK hi####ysister.net
- DNS ASK hi####ylabor.net
- DNS ASK am####silver.net
- DNS ASK we####rsilver.net
- DNS ASK st####evalley.net
- DNS ASK hi####yvalley.net
- DNS ASK st####elabor.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
