Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Service WMI iSCSI Session Controls Volume' = '%APPDATA%\xycwnppqingey\eatsnsu.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\xycwnppqingey\bqolhehm.exe' "%APPDATA%\xycwnppqingey\eatsnsu.exe"
- '%APPDATA%\xycwnppqingey\eatsnsu.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\xycwnppqingey\eatsnsu.xabl
- %APPDATA%\xycwnppqingey\bqolhehm.exe
- %APPDATA%\xycwnppqingey\eatsnsu.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\xycwnppqingey\bqolhehm.exe
- %APPDATA%\xycwnppqingey\eatsnsu.exe
Network activity:
Connects to:
- 'ge####manbehind.net':80
- 'al####ybroad.net':80
- 'ge####manbroad.net':80
- 'al####ybutter.net':80
- 'ge####manbutter.net':80
- 'al####ybehind.net':80
- 'fr###butter.net':80
- 'ex#####ncebehind.net':80
- 'fr###behind.net':80
- 'al#####understand.net':80
- 'ge#####anunderstand.net':80
- 'ex#####ncebutter.net':80
- 'fo#####nderstand.net':80
- 'kn####nderstand.net':80
- 'be####nderstand.net':80
- 'me####butter.net':80
- 'be###behind.net':80
- 'kn###broad.net':80
- 'be###broad.net':80
- 'me###rbroad.net':80
- 'fo###wbroad.net':80
- 'me#####nderstand.net':80
- 'fo####butter.net':80
- 'me####behind.net':80
- 'fo####behind.net':80
- 'ex####encebroad.net':80
- 'sw####erfect.net':80
- 'pr####lyheart.net':80
- 'sw###heart.net':80
- 'pr####lymayor.net':80
- 'sw###mayor.net':80
- 'pr####lyperfect.net':80
- 'fi###hmayor.net':80
- 'le####erfect.net':80
- 'fi####perfect.net':80
- 'le###battle.net':80
- 'fi####battle.net':80
- 'le###mayor.net':80
- 'sw###battle.net':80
- 'ma####albattle.net':80
- 'se####lbattle.net':80
- 'ma####almayor.net':80
- 'fr###broad.net':80
- 'ex######ceunderstand.net':80
- 'fr####nderstand.net':80
- 'ma####alheart.net':80
- 'se####lheart.net':80
- 'pr####lybattle.net':80
- 'se####lmayor.net':80
- 'ma####alperfect.net':80
- 'se####lperfect.net':80
TCP:
HTTP GET requests:
- ge####manbehind.net/forum/search.php?em#######################################
- al####ybroad.net/forum/search.php?em#######################################
- ge####manbroad.net/forum/search.php?em#######################################
- al####ybutter.net/forum/search.php?em#######################################
- ge####manbutter.net/forum/search.php?em#######################################
- al####ybehind.net/forum/search.php?em#######################################
- fr###butter.net/forum/search.php?em#######################################
- ex#####ncebehind.net/forum/search.php?em#######################################
- fr###behind.net/forum/search.php?em#######################################
- al#####understand.net/forum/search.php?em#######################################
- ge#####anunderstand.net/forum/search.php?em#######################################
- ex#####ncebutter.net/forum/search.php?em#######################################
- fo#####nderstand.net/forum/search.php?em#######################################
- kn####nderstand.net/forum/search.php?em#######################################
- be####nderstand.net/forum/search.php?em#######################################
- me####butter.net/forum/search.php?em#######################################
- be###behind.net/forum/search.php?em#######################################
- kn###broad.net/forum/search.php?em#######################################
- be###broad.net/forum/search.php?em#######################################
- me###rbroad.net/forum/search.php?em#######################################
- fo###wbroad.net/forum/search.php?em#######################################
- me#####nderstand.net/forum/search.php?em#######################################
- fo####butter.net/forum/search.php?em#######################################
- me####behind.net/forum/search.php?em#######################################
- fo####behind.net/forum/search.php?em#######################################
- ex####encebroad.net/forum/search.php?em#######################################
- sw####erfect.net/forum/search.php?em#######################################
- pr####lyheart.net/forum/search.php?em#######################################
- sw###heart.net/forum/search.php?em#######################################
- pr####lymayor.net/forum/search.php?em#######################################
- sw###mayor.net/forum/search.php?em#######################################
- pr####lyperfect.net/forum/search.php?em#######################################
- fi###hmayor.net/forum/search.php?em#######################################
- le####erfect.net/forum/search.php?em#######################################
- fi####perfect.net/forum/search.php?em#######################################
- le###battle.net/forum/search.php?em#######################################
- fi####battle.net/forum/search.php?em#######################################
- le###mayor.net/forum/search.php?em#######################################
- sw###battle.net/forum/search.php?em#######################################
- ma####albattle.net/forum/search.php?em#######################################
- se####lbattle.net/forum/search.php?em#######################################
- ma####almayor.net/forum/search.php?em#######################################
- fr###broad.net/forum/search.php?em#######################################
- ex######ceunderstand.net/forum/search.php?em#######################################
- fr####nderstand.net/forum/search.php?em#######################################
- ma####alheart.net/forum/search.php?em#######################################
- se####lheart.net/forum/search.php?em#######################################
- pr####lybattle.net/forum/search.php?em#######################################
- se####lmayor.net/forum/search.php?em#######################################
- ma####alperfect.net/forum/search.php?em#######################################
- se####lperfect.net/forum/search.php?em#######################################
UDP:
- DNS ASK ge####manbehind.net
- DNS ASK al####ybroad.net
- DNS ASK ge####manbroad.net
- DNS ASK al####ybutter.net
- DNS ASK ge####manbutter.net
- DNS ASK al####ybehind.net
- DNS ASK fr###butter.net
- DNS ASK ex#####ncebehind.net
- DNS ASK fr###behind.net
- DNS ASK al#####understand.net
- DNS ASK ge#####anunderstand.net
- DNS ASK ex#####ncebutter.net
- DNS ASK fo#####nderstand.net
- DNS ASK kn####nderstand.net
- DNS ASK be####nderstand.net
- DNS ASK me####butter.net
- DNS ASK be###behind.net
- DNS ASK kn###broad.net
- DNS ASK be###broad.net
- DNS ASK me###rbroad.net
- DNS ASK fo###wbroad.net
- DNS ASK me#####nderstand.net
- DNS ASK fo####butter.net
- DNS ASK me####behind.net
- DNS ASK fo####behind.net
- DNS ASK ex####encebroad.net
- DNS ASK sw####erfect.net
- DNS ASK pr####lyheart.net
- DNS ASK sw###heart.net
- DNS ASK pr####lymayor.net
- DNS ASK sw###mayor.net
- DNS ASK pr####lyperfect.net
- DNS ASK fi###hmayor.net
- DNS ASK le####erfect.net
- DNS ASK fi####perfect.net
- DNS ASK le###battle.net
- DNS ASK fi####battle.net
- DNS ASK le###mayor.net
- DNS ASK sw###battle.net
- DNS ASK ma####albattle.net
- DNS ASK se####lbattle.net
- DNS ASK ma####almayor.net
- DNS ASK fr###broad.net
- DNS ASK ex######ceunderstand.net
- DNS ASK fr####nderstand.net
- DNS ASK ma####alheart.net
- DNS ASK se####lheart.net
- DNS ASK pr####lybattle.net
- DNS ASK se####lmayor.net
- DNS ASK ma####alperfect.net
- DNS ASK se####lperfect.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
