Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Upgrade Shadow Service WLAN Grouping' = '<SYSTEM32>\stddvmtw.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Presentation Awareness PC Problem File] 'ImagePath' = '<SYSTEM32>\stddvmtw.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Presentation Awareness PC Problem File] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\ofqhtzlwqwn.exe' "<SYSTEM32>\stddvmtw.exe"
- '%WINDIR%\Temp\eaibsxip3onlcu.exe' -r 36727 tcp
- '%TEMP%\eaibsxip3hyqcuyad5v5r.exe'
- '<SYSTEM32>\stddvmtw.exe'
Modifies file system:
Creates the following files:
- <SYSTEM32>\yyxynqear\run
- <SYSTEM32>\yyxynqear\rng
- %WINDIR%\Temp\eaibsxip3onlcu.exe
- <SYSTEM32>\yyxynqear\cfg
- <SYSTEM32>\ofqhtzlwqwn.exe
- %TEMP%\eaibsxip3hyqcuyad5v5r.exe
- <SYSTEM32>\yyxynqear\tst
- <SYSTEM32>\stddvmtw.exe
- <SYSTEM32>\yyxynqear\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\ofqhtzlwqwn.exe
- <SYSTEM32>\stddvmtw.exe
Deletes the following files:
- %WINDIR%\Temp\eaibsxip3onlcu.exe
- <DRIVERS>\etc\hosts
- %TEMP%\eaibsxip3hyqcuyad5v5r.exe
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'de####erword.net':80
- 'al###word.net':80
- 'de####ertouch.net':80
- 'lo###ard.net':80
- 'so###lock.net':80
- 'lo###lock.net':80
- 'so###ard.net':80
- 'al###form.net':80
- 'fr###yword.net':80
- 'pu###ord.net':80
- 'de####erform.net':80
- 'al###touch.net':80
- 'de####eragree.net':80
- 'al###agree.net':80
- 'sa###ake.net':80
- 'wh###make.net':80
- 'sa###lock.net':80
- 'wh###rush.net':80
- 'ba###ard.net':80
- 'st###hard.net':80
- 'sa###ush.net':80
- 'lo###ush.net':80
- 'so###ake.net':80
- 'lo###ake.net':80
- 'so###ush.net':80
- 'wh###clock.net':80
- 'sa###ard.net':80
- 'wh###hard.net':80
- 'wa###ord.net':80
- 'bo###lain.net':80
- 'fr###yloss.net':80
- 'eg###aker.com':80
- 'ti###ord.net':80
- 'it###need.com':80
- 'na###eep.com':80
- 'lo###old.net':80
- 'fe###tate.net':80
- 'ab###ead.net':80
- 'mo###next.net':80
- 'mo###gray.net':80
- 'st###ocean.net':80
- 'na###here.net':80
- 'fr###yform.net':80
- 'pu###orm.net':80
- 'de###ord.net':80
- 'pu###gree.net':80
- 'fr###ytouch.net':80
- 'pu###ouch.net':80
- 'fr###yagree.net':80
- 'sh###agree.net':80
- 'de###orm.net':80
- 'sh###form.net':80
- 'de###gree.net':80
- 'sh###word.net':80
- 'de###ouch.net':80
- 'sh###touch.net':80
TCP:
HTTP GET requests:
- http://de####erword.net/index.php?me################################################
- http://al###word.net/index.php?me################################################
- http://de####ertouch.net/index.php?me################################################
- http://lo###ard.net/index.php?me################################################
- http://so###lock.net/index.php?me################################################
- http://lo###lock.net/index.php?me################################################
- http://so###ard.net/index.php?me################################################
- http://al###form.net/index.php?me################################################
- http://fr###yword.net/index.php?me################################################
- http://pu###ord.net/index.php?me################################################
- http://de####erform.net/index.php?me################################################
- http://al###touch.net/index.php?me################################################
- http://de####eragree.net/index.php?me################################################
- http://al###agree.net/index.php?me################################################
- http://sa###ake.net/index.php?me################################################
- http://wh###make.net/index.php?me################################################
- http://sa###lock.net/index.php?me################################################
- http://wh###rush.net/index.php?me################################################
- http://ba###ard.net/index.php?me################################################
- http://st###hard.net/index.php?me################################################
- http://sa###ush.net/index.php?me################################################
- http://lo###ush.net/index.php?me################################################
- http://so###ake.net/index.php?me################################################
- http://lo###ake.net/index.php?me################################################
- http://so###ush.net/index.php?me################################################
- http://wh###clock.net/index.php?me################################################
- http://sa###ard.net/index.php?me################################################
- http://wh###hard.net/index.php?me################################################
- http://wa###ord.net/index.php?me################################################
- http://bo###lain.net/index.php?me################################################
- http://fr###yloss.net/index.php?me################################################
- http://eg###aker.com/index.php?me################################################
- http://ti###ord.net/index.php?me################################################
- http://it###need.com/index.php?me################################################
- http://na###eep.com/index.php?me################################################
- http://lo###old.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://mo###next.net/index.php?me################################################
- http://mo###gray.net/index.php?me################################################
- http://st###ocean.net/index.php?me################################################
- http://na###here.net/index.php?me################################################
- http://fr###yform.net/index.php?me################################################
- http://pu###orm.net/index.php?me################################################
- http://de###ord.net/index.php?me################################################
- http://pu###gree.net/index.php?me################################################
- http://fr###ytouch.net/index.php?me################################################
- http://pu###ouch.net/index.php?me################################################
- http://fr###yagree.net/index.php?me################################################
- http://sh###agree.net/index.php?me################################################
- http://de###orm.net/index.php?me################################################
- http://sh###form.net/index.php?me################################################
- http://de###gree.net/index.php?me################################################
- http://sh###word.net/index.php?me################################################
- http://de###ouch.net/index.php?me################################################
- http://sh###touch.net/index.php?me################################################
UDP:
- DNS ASK de####erword.net
- DNS ASK al###word.net
- DNS ASK de####ertouch.net
- DNS ASK lo###ard.net
- DNS ASK so###lock.net
- DNS ASK lo###lock.net
- DNS ASK so###ard.net
- DNS ASK al###form.net
- DNS ASK fr###yword.net
- DNS ASK pu###ord.net
- DNS ASK de####erform.net
- DNS ASK al###touch.net
- DNS ASK de####eragree.net
- DNS ASK al###agree.net
- DNS ASK lo###ake.net
- DNS ASK wh###rush.net
- DNS ASK sa###ake.net
- DNS ASK wh###make.net
- DNS ASK sa###ush.net
- DNS ASK st###clock.net
- DNS ASK ba###ard.net
- DNS ASK st###hard.net
- DNS ASK so###ush.net
- DNS ASK lo###ush.net
- DNS ASK so###ake.net
- DNS ASK wh###hard.net
- DNS ASK sa###lock.net
- DNS ASK wh###clock.net
- DNS ASK sa###ard.net
- DNS ASK wa###ord.net
- DNS ASK bo###lain.net
- DNS ASK fr###yloss.net
- DNS ASK eg###aker.com
- DNS ASK ti###ord.net
- DNS ASK it###need.com
- DNS ASK na###eep.com
- DNS ASK lo###old.net
- DNS ASK fe###tate.net
- DNS ASK ab###ead.net
- DNS ASK mo###next.net
- DNS ASK mo###gray.net
- DNS ASK st###ocean.net
- DNS ASK na###here.net
- DNS ASK fr###yform.net
- DNS ASK pu###orm.net
- DNS ASK de###ord.net
- DNS ASK pu###gree.net
- DNS ASK fr###ytouch.net
- DNS ASK pu###ouch.net
- DNS ASK fr###yagree.net
- DNS ASK sh###agree.net
- DNS ASK de###orm.net
- DNS ASK sh###form.net
- DNS ASK de###gree.net
- DNS ASK sh###word.net
- DNS ASK de###ouch.net
- DNS ASK sh###touch.net
- '23#.#55.255.250':1900
