Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Peer PC Bluetooth Task Extender Print' = '%APPDATA%\gtvmcxhorcudxwx\uuglvburz.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\gtvmcxhorcudxwx\nhcmqlijzmsh.exe' "%APPDATA%\gtvmcxhorcudxwx\uuglvburz.exe"
- '%APPDATA%\gtvmcxhorcudxwx\uuglvburz.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\gtvmcxhorcudxwx\uuglvburz.ed
- %APPDATA%\gtvmcxhorcudxwx\nhcmqlijzmsh.exe
- %APPDATA%\gtvmcxhorcudxwx\uuglvburz.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\gtvmcxhorcudxwx\uuglvburz.exe
Deletes the following files:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Network activity:
Connects to:
- 'th####tnorth.net':80
- 'wa####nclude.net':80
- 'wa###north.net':80
- 'sm###clear.net':80
- 'wo###clear.net':80
- 'wa###clear.net':80
- 'th####tclear.net':80
- 'th####tgeneral.net':80
- 'th####tinclude.net':80
- 'wa####eneral.net':80
- 'pa###clear.net':80
- 'sm###north.net':80
- 'fi###clear.net':80
- 'fi####eneral.net':80
- 'pa####eneral.net':80
- 'sm####eneral.net':80
- 'wo####eneral.net':80
- 'wo####nclude.net':80
- 'wo###north.net':80
- 'sm####nclude.net':80
- 'cr###north.net':80
- 'kn###clear.net':80
- 'be###clear.net':80
- 'be####eneral.net':80
- 'be####nclude.net':80
- 'kn####eneral.net':80
- 'fo####include.net':80
- 'me####general.net':80
- 'me####include.net':80
- 'me###rnorth.net':80
- 'fo###wnorth.net':80
- 'cr####eneral.net':80
- 'su####general.net':80
- 'su####include.net':80
- 'su###rnorth.net':80
- 'cr####nclude.net':80
- 'be###north.net':80
- 'kn####nclude.net':80
- 'kn###north.net':80
- 'cr###clear.net':80
- 'su###rclear.net':80
TCP:
HTTP GET requests:
- th####tnorth.net/index.php?em###################################
- wa####nclude.net/index.php?em###################################
- wa###north.net/index.php?em###################################
- sm###clear.net/index.php?em###################################
- wo###clear.net/index.php?em###################################
- wa###clear.net/index.php?em###################################
- th####tclear.net/index.php?em###################################
- th####tgeneral.net/index.php?em###################################
- th####tinclude.net/index.php?em###################################
- wa####eneral.net/index.php?em###################################
- pa###clear.net/index.php?em###################################
- sm###north.net/index.php?em###################################
- fi###clear.net/index.php?em###################################
- fi####eneral.net/index.php?em###################################
- pa####eneral.net/index.php?em###################################
- sm####eneral.net/index.php?em###################################
- wo####eneral.net/index.php?em###################################
- wo####nclude.net/index.php?em###################################
- wo###north.net/index.php?em###################################
- sm####nclude.net/index.php?em###################################
- cr###north.net/index.php?em###################################
- kn###clear.net/index.php?em###################################
- be###clear.net/index.php?em###################################
- be####eneral.net/index.php?em###################################
- be####nclude.net/index.php?em###################################
- kn####eneral.net/index.php?em###################################
- fo####include.net/index.php?em###################################
- me####general.net/index.php?em###################################
- me####include.net/index.php?em###################################
- me###rnorth.net/index.php?em###################################
- fo###wnorth.net/index.php?em###################################
- cr####eneral.net/index.php?em###################################
- su####general.net/index.php?em###################################
- su####include.net/index.php?em###################################
- su###rnorth.net/index.php?em###################################
- cr####nclude.net/index.php?em###################################
- be###north.net/index.php?em###################################
- kn####nclude.net/index.php?em###################################
- kn###north.net/index.php?em###################################
- cr###clear.net/index.php?em###################################
- su###rclear.net/index.php?em###################################
UDP:
- DNS ASK th####tnorth.net
- DNS ASK wa####nclude.net
- DNS ASK wa###north.net
- DNS ASK sm###clear.net
- DNS ASK wo###clear.net
- DNS ASK wa###clear.net
- DNS ASK th####tclear.net
- DNS ASK th####tgeneral.net
- DNS ASK th####tinclude.net
- DNS ASK wa####eneral.net
- DNS ASK pa###clear.net
- DNS ASK sm###north.net
- DNS ASK fi###clear.net
- DNS ASK fi####eneral.net
- DNS ASK pa####eneral.net
- DNS ASK sm####eneral.net
- DNS ASK wo####eneral.net
- DNS ASK wo####nclude.net
- DNS ASK wo###north.net
- DNS ASK sm####nclude.net
- DNS ASK cr###north.net
- DNS ASK kn###clear.net
- DNS ASK be###clear.net
- DNS ASK be####eneral.net
- DNS ASK be####nclude.net
- DNS ASK kn####eneral.net
- DNS ASK fo####include.net
- DNS ASK me####general.net
- DNS ASK me####include.net
- DNS ASK me###rnorth.net
- DNS ASK fo###wnorth.net
- DNS ASK cr####eneral.net
- DNS ASK su####general.net
- DNS ASK su####include.net
- DNS ASK su###rnorth.net
- DNS ASK cr####nclude.net
- DNS ASK be###north.net
- DNS ASK kn####nclude.net
- DNS ASK kn###north.net
- DNS ASK cr###clear.net
- DNS ASK su###rclear.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
