Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows DHCP Desktop Center Visual' = '<SYSTEM32>\qviaqtmir.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Log SPP Endpoint Protection] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\bvqaaglzahj.exe' "<SYSTEM32>\qviaqtmir.exe"
- '%WINDIR%\Temp\agv3diz2sbztox.exe' -r 30163 tcp
- '%TEMP%\agv3diz2qdotoxugfrqqmp.exe'
- '<SYSTEM32>\qviaqtmir.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\ctwofzdrgzjvubo\run
- <SYSTEM32>\ctwofzdrgzjvubo\rng
- %WINDIR%\Temp\agv3diz2sbztox.exe
- <SYSTEM32>\ctwofzdrgzjvubo\cfg
- <SYSTEM32>\bvqaaglzahj.exe
- %TEMP%\agv3diz2qdotoxugfrqqmp.exe
- <SYSTEM32>\ctwofzdrgzjvubo\tst
- <SYSTEM32>\qviaqtmir.exe
- <SYSTEM32>\ctwofzdrgzjvubo\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\bvqaaglzahj.exe
- <SYSTEM32>\qviaqtmir.exe
Deletes the following files:
- %WINDIR%\Temp\agv3diz2sbztox.exe
- %TEMP%\agv3diz2qdotoxugfrqqmp.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'no###ook.net':80
- 'no###ext.net':80
- 'no###all.net':80
- 'po###been.net':80
- 'ca###een.net':80
- 'ri###ook.net':80
- 'fa###cook.net':80
- 'fa###tall.net':80
- 'no###een.net':80
- 'ri###all.net':80
- 'le###een.net':80
- 'po###tall.net':80
- 'ta###been.net':80
- 'ta###next.net':80
- 'le###ext.net':80
- 'po###next.net':80
- 'ca###ext.net':80
- 'ca###ook.net':80
- 'ca###all.net':80
- 'po###cook.net':80
- 'ri###ext.net':80
- 'th###pass.net':80
- 'li###ass.net':80
- 'li###gain.net':80
- 'fi###stand.net':80
- 'th###again.net':80
- 'li###tand.net':80
- 'fe###gain.net':80
- 'th###stand.net':80
- 'th###sugar.net':80
- 'li###ugar.net':80
- 'so###again.net':80
- 'fi###again.net':80
- 'fa###been.net':80
- 'fa###next.net':80
- 'ri###een.net':80
- 'fi###sugar.net':80
- 'so###stand.net':80
- 'so###sugar.net':80
- 'so###pass.net':80
- 'fi###pass.net':80
- 'le###ook.net':80
- 'fa###sing.net':80
- 'so###tall.net':80
- 'ri###ing.net':80
- 'ri###tart.net':80
- 'fa###start.net':80
- 'so###next.net':80
- 'fi###next.net':80
- 'fi###cook.net':80
- 'fi###tall.net':80
- 'so###cook.net':80
- 'we####dayhalf.net':80
- 'mo###rest.net':80
- 'qu###tell.net':80
- 'ab###ead.net':80
- 'so###nder.net':80
- 'fe###tate.net':80
- 'ca###ile.net':80
- 'mu###appy.net':80
- 'dr####hirteen.net':80
- 'fa###oat.net':80
- 'so###been.net':80
- 'fe###ext.net':80
- 'we###ext.net':80
- 'we###ook.net':80
- 'we###all.net':80
- 'fe###ook.net':80
- 'le###all.net':80
- 'ta###cook.net':80
- 'ta###tall.net':80
- 'fe###een.net':80
- 'we###een.net':80
- 'th###cook.net':80
- 'li###ook.net':80
- 'li###all.net':80
- 'fi###been.net':80
- 'th###tall.net':80
- 'li###een.net':80
- 'fe###all.net':80
- 'th###been.net':80
- 'th###next.net':80
- 'li###ext.net':80
TCP:
HTTP GET requests:
- no###ook.net/index.php?me################################################
- no###ext.net/index.php?me################################################
- no###all.net/index.php?me################################################
- po###been.net/index.php?me################################################
- ca###een.net/index.php?me################################################
- ri###ook.net/index.php?me################################################
- fa###cook.net/index.php?me################################################
- fa###tall.net/index.php?me################################################
- no###een.net/index.php?me################################################
- ri###all.net/index.php?me################################################
- le###een.net/index.php?me################################################
- po###tall.net/index.php?me################################################
- ta###been.net/index.php?me################################################
- ta###next.net/index.php?me################################################
- le###ext.net/index.php?me################################################
- po###next.net/index.php?me################################################
- ca###ext.net/index.php?me################################################
- ca###ook.net/index.php?me################################################
- ca###all.net/index.php?me################################################
- po###cook.net/index.php?me################################################
- ri###ext.net/index.php?me################################################
- th###pass.net/index.php?me################################################
- li###ass.net/index.php?me################################################
- li###gain.net/index.php?me################################################
- fi###stand.net/index.php?me################################################
- th###again.net/index.php?me################################################
- li###tand.net/index.php?me################################################
- fe###gain.net/index.php?me################################################
- th###stand.net/index.php?me################################################
- th###sugar.net/index.php?me################################################
- li###ugar.net/index.php?me################################################
- so###again.net/index.php?me################################################
- fi###again.net/index.php?me################################################
- fa###been.net/index.php?me################################################
- fa###next.net/index.php?me################################################
- ri###een.net/index.php?me################################################
- fi###sugar.net/index.php?me################################################
- so###stand.net/index.php?me################################################
- so###sugar.net/index.php?me################################################
- so###pass.net/index.php?me################################################
- fi###pass.net/index.php?me################################################
- le###ook.net/index.php?me################################################
- fa###sing.net/index.php?me################################################
- so###tall.net/index.php?me################################################
- ri###ing.net/index.php?me################################################
- ri###tart.net/index.php?me################################################
- fa###start.net/index.php?me################################################
- so###next.net/index.php?me################################################
- fi###next.net/index.php?me################################################
- fi###cook.net/index.php?me################################################
- fi###tall.net/index.php?me################################################
- so###cook.net/index.php?me################################################
- we####dayhalf.net/index.php?me################################################
- mo###rest.net/index.php?me################################################
- qu###tell.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- so###nder.net/index.php?me################################################
- fe###tate.net/index.php?me################################################
- ca###ile.net/index.php?me################################################
- mu###appy.net/index.php?me################################################
- dr####hirteen.net/index.php?me################################################
- fa###oat.net/index.php?me################################################
- so###been.net/index.php?me################################################
- fe###ext.net/index.php?me################################################
- we###ext.net/index.php?me################################################
- we###ook.net/index.php?me################################################
- we###all.net/index.php?me################################################
- fe###ook.net/index.php?me################################################
- le###all.net/index.php?me################################################
- ta###cook.net/index.php?me################################################
- ta###tall.net/index.php?me################################################
- fe###een.net/index.php?me################################################
- we###een.net/index.php?me################################################
- th###cook.net/index.php?me################################################
- li###ook.net/index.php?me################################################
- li###all.net/index.php?me################################################
- fi###been.net/index.php?me################################################
- th###tall.net/index.php?me################################################
- li###een.net/index.php?me################################################
- fe###all.net/index.php?me################################################
- th###been.net/index.php?me################################################
- th###next.net/index.php?me################################################
- li###ext.net/index.php?me################################################
UDP:
- DNS ASK no###ook.net
- DNS ASK no###ext.net
- DNS ASK no###all.net
- DNS ASK po###been.net
- DNS ASK ca###een.net
- DNS ASK ri###ook.net
- DNS ASK fa###cook.net
- DNS ASK fa###tall.net
- DNS ASK no###een.net
- DNS ASK ri###all.net
- DNS ASK ca###ext.net
- DNS ASK ta###been.net
- DNS ASK le###een.net
- DNS ASK le###ext.net
- DNS ASK le###ook.net
- DNS ASK ta###next.net
- DNS ASK ca###ook.net
- DNS ASK po###next.net
- DNS ASK po###cook.net
- DNS ASK po###tall.net
- DNS ASK ca###all.net
- DNS ASK th###pass.net
- DNS ASK li###ass.net
- DNS ASK li###gain.net
- DNS ASK fi###stand.net
- DNS ASK th###again.net
- DNS ASK li###tand.net
- DNS ASK fe###gain.net
- DNS ASK th###stand.net
- DNS ASK th###sugar.net
- DNS ASK li###ugar.net
- DNS ASK so###stand.net
- DNS ASK fa###been.net
- DNS ASK so###again.net
- DNS ASK ri###een.net
- DNS ASK ri###ext.net
- DNS ASK fa###next.net
- DNS ASK so###sugar.net
- DNS ASK fi###sugar.net
- DNS ASK fi###pass.net
- DNS ASK fi###again.net
- DNS ASK so###pass.net
- DNS ASK fa###sing.net
- DNS ASK so###tall.net
- DNS ASK ri###ing.net
- DNS ASK ri###tart.net
- DNS ASK fa###start.net
- DNS ASK so###next.net
- DNS ASK fi###next.net
- DNS ASK fi###cook.net
- DNS ASK fi###tall.net
- DNS ASK so###cook.net
- DNS ASK we####dayhalf.net
- DNS ASK mo###rest.net
- DNS ASK qu###tell.net
- DNS ASK ab###ead.net
- DNS ASK so###nder.net
- DNS ASK fe###tate.net
- DNS ASK ca###ile.net
- DNS ASK mu###appy.net
- DNS ASK dr####hirteen.net
- DNS ASK fa###oat.net
- DNS ASK so###been.net
- DNS ASK fe###ext.net
- DNS ASK we###ext.net
- DNS ASK we###ook.net
- DNS ASK we###all.net
- DNS ASK fe###ook.net
- DNS ASK le###all.net
- DNS ASK ta###cook.net
- DNS ASK ta###tall.net
- DNS ASK fe###een.net
- DNS ASK we###een.net
- DNS ASK th###cook.net
- DNS ASK li###ook.net
- DNS ASK li###all.net
- DNS ASK fi###been.net
- DNS ASK th###tall.net
- DNS ASK li###een.net
- DNS ASK fe###all.net
- DNS ASK th###been.net
- DNS ASK th###next.net
- DNS ASK li###ext.net
- '23#.#55.255.250':1900
