Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Helper Service Coordinator Config' = '%APPDATA%\noxdfjjonhoi\dyzvbamzd.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\noxdfjjonhoi\ptegbapoonwv.exe' "%APPDATA%\noxdfjjonhoi\dyzvbamzd.exe"
- '%APPDATA%\noxdfjjonhoi\dyzvbamzd.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\noxdfjjonhoi\dyzvbamzd.imey
- %APPDATA%\noxdfjjonhoi\ptegbapoonwv.exe
- %APPDATA%\noxdfjjonhoi\dyzvbamzd.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\noxdfjjonhoi\dyzvbamzd.exe
Network activity:
Connects to:
- 'ge####eearly.net':80
- 'ge###ecatch.net':80
- 'he###ndress.net':80
- 'va####scatch.net':80
- 'ge###edress.net':80
- 'ge####public.net':80
- 'le###rdress.net':80
- 'le####eearly.net':80
- 'he###ncatch.net':80
- 'le###rcatch.net':80
- 'he####public.net':80
- 'le####public.net':80
- 'he####eearly.net':80
- 'jo####ypaint.net':80
- 'hu####dclean.net':80
- 'jo####yclean.net':80
- 'hu####dcourse.net':80
- 'jo####ycourse.net':80
- 'hu####dpaint.net':80
- 're###ndress.net':80
- 're####eearly.net':80
- 'va####seearly.net':80
- 're###ncatch.net':80
- 'va####sdress.net':80
- 're####public.net':80
- 'va####spublic.net':80
- 're####edress.net':80
- 'di####ultdress.net':80
- 'he###public.net':80
- 'di####ultpublic.net':80
- 'ne####arycatch.net':80
- 'pl####ntcatch.net':80
- 'he###dress.net':80
- 'he###eearly.net':80
- 'gl###dress.net':80
- 'an###rdress.net':80
- 'gl###public.net':80
- 'di####ulteearly.net':80
- 'he###catch.net':80
- 'di####ultcatch.net':80
- 're####eeearly.net':80
- 'or###eearly.net':80
- 're####ecatch.net':80
- 'or###dress.net':80
- 're####epublic.net':80
- 'or###public.net':80
- 'or###catch.net':80
- 'pl####ntpublic.net':80
- 'ne####aryeearly.net':80
- 'pl####nteearly.net':80
- 'ne####arydress.net':80
- 'pl####ntdress.net':80
- 'ne####arypublic.net':80
TCP:
HTTP GET requests:
- ge####eearly.net/index.php?em###########################################
- ge###ecatch.net/index.php?em###########################################
- he###ndress.net/index.php?em###########################################
- va####scatch.net/index.php?em###########################################
- ge###edress.net/index.php?em###########################################
- ge####public.net/index.php?em###########################################
- le###rdress.net/index.php?em###########################################
- le####eearly.net/index.php?em###########################################
- he###ncatch.net/index.php?em###########################################
- le###rcatch.net/index.php?em###########################################
- he####public.net/index.php?em###########################################
- le####public.net/index.php?em###########################################
- he####eearly.net/index.php?em###########################################
- jo####ypaint.net/index.php?em###########################################
- hu####dclean.net/index.php?em###########################################
- jo####yclean.net/index.php?em###########################################
- hu####dcourse.net/index.php?em###########################################
- jo####ycourse.net/index.php?em###########################################
- hu####dpaint.net/index.php?em###########################################
- re###ndress.net/index.php?em###########################################
- re####eearly.net/index.php?em###########################################
- va####seearly.net/index.php?em###########################################
- re###ncatch.net/index.php?em###########################################
- va####sdress.net/index.php?em###########################################
- re####public.net/index.php?em###########################################
- va####spublic.net/index.php?em###########################################
- re####edress.net/index.php?em###########################################
- di####ultdress.net/index.php?em###########################################
- he###public.net/index.php?em###########################################
- di####ultpublic.net/index.php?em###########################################
- ne####arycatch.net/index.php?em###########################################
- pl####ntcatch.net/index.php?em###########################################
- he###dress.net/index.php?em###########################################
- he###eearly.net/index.php?em###########################################
- gl###dress.net/index.php?em###########################################
- an###rdress.net/index.php?em###########################################
- gl###public.net/index.php?em###########################################
- di####ulteearly.net/index.php?em###########################################
- he###catch.net/index.php?em###########################################
- di####ultcatch.net/index.php?em###########################################
- re####eeearly.net/index.php?em###########################################
- or###eearly.net/index.php?em###########################################
- re####ecatch.net/index.php?em###########################################
- or###dress.net/index.php?em###########################################
- re####epublic.net/index.php?em###########################################
- or###public.net/index.php?em###########################################
- or###catch.net/index.php?em###########################################
- pl####ntpublic.net/index.php?em###########################################
- ne####aryeearly.net/index.php?em###########################################
- pl####nteearly.net/index.php?em###########################################
- ne####arydress.net/index.php?em###########################################
- pl####ntdress.net/index.php?em###########################################
- ne####arypublic.net/index.php?em###########################################
UDP:
- DNS ASK ge####eearly.net
- DNS ASK ge###ecatch.net
- DNS ASK he###ndress.net
- DNS ASK va####scatch.net
- DNS ASK ge###edress.net
- DNS ASK ge####public.net
- DNS ASK le###rdress.net
- DNS ASK le####eearly.net
- DNS ASK he###ncatch.net
- DNS ASK le###rcatch.net
- DNS ASK he####public.net
- DNS ASK le####public.net
- DNS ASK he####eearly.net
- DNS ASK re###ncatch.net
- DNS ASK hu####dpaint.net
- DNS ASK jo####ypaint.net
- DNS ASK hu####dclean.net
- DNS ASK jo####ywomen.net
- DNS ASK hu####dcourse.net
- DNS ASK jo####ycourse.net
- DNS ASK jo####yclean.net
- DNS ASK va####spublic.net
- DNS ASK re####eearly.net
- DNS ASK va####seearly.net
- DNS ASK re###ndress.net
- DNS ASK va####sdress.net
- DNS ASK re####public.net
- DNS ASK di####ultdress.net
- DNS ASK he###public.net
- DNS ASK di####ultpublic.net
- DNS ASK ne####arycatch.net
- DNS ASK pl####ntcatch.net
- DNS ASK he###dress.net
- DNS ASK he###eearly.net
- DNS ASK gl###dress.net
- DNS ASK an###rdress.net
- DNS ASK gl###public.net
- DNS ASK di####ulteearly.net
- DNS ASK he###catch.net
- DNS ASK di####ultcatch.net
- DNS ASK pl####nteearly.net
- DNS ASK or###public.net
- DNS ASK re####eeearly.net
- DNS ASK or###eearly.net
- DNS ASK re####edress.net
- DNS ASK or###dress.net
- DNS ASK re####epublic.net
- DNS ASK re####ecatch.net
- DNS ASK ne####arypublic.net
- DNS ASK pl####ntpublic.net
- DNS ASK ne####aryeearly.net
- DNS ASK or###catch.net
- DNS ASK ne####arydress.net
- DNS ASK pl####ntdress.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
