Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Themes Removal Font Log' = '%APPDATA%\ikdzfmzubchdox\piexlrcfd.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\ikdzfmzubchdox\iuqoump.exe' "%APPDATA%\ikdzfmzubchdox\piexlrcfd.exe"
- '%APPDATA%\ikdzfmzubchdox\piexlrcfd.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\ikdzfmzubchdox\piexlrcfd.yk
- %APPDATA%\ikdzfmzubchdox\iuqoump.exe
- %APPDATA%\ikdzfmzubchdox\piexlrcfd.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\ikdzfmzubchdox\piexlrcfd.exe
Network activity:
Connects to:
- 'po####ledinner.net':80
- 'mo####indinner.net':80
- 'mo####inafraid.net':80
- 'mo####incircle.net':80
- 'po####leafraid.net':80
- 'si####circle.net':80
- 'mo####afraid.net':80
- 'mo####circle.net':80
- 'po####lemeasure.net':80
- 'mo####inmeasure.net':80
- 'po####lecircle.net':80
- 'pe####scircle.net':80
- 'wi####afraid.net':80
- 'wi####circle.net':80
- 'su####tdinner.net':80
- 'su####tmeasure.net':80
- 'wi####measure.net':80
- 'pe####smeasure.net':80
- 'pe####sdinner.net':80
- 'pe####safraid.net':80
- 'wi####dinner.net':80
- 'si####afraid.net':80
- 'ma####albuilt.net':80
- 'se####lbuilt.net':80
- 'se####lcarry.net':80
- 'se####measure.net':80
- 'ma####alcarry.net':80
- 'se####lfather.net':80
- 'pr####lycarry.net':80
- 'ma####alfather.net':80
- 'ma####alapple.net':80
- 'se####lapple.net':80
- 'la####easure.net':80
- 'si####measure.net':80
- 'la###circle.net':80
- 'mo####measure.net':80
- 'mo####dinner.net':80
- 'si####dinner.net':80
- 'la###dinner.net':80
- 'se####dinner.net':80
- 'se####afraid.net':80
- 'se####circle.net':80
- 'la###afraid.net':80
TCP:
HTTP GET requests:
- po####ledinner.net/index.php?em#####################################################
- mo####indinner.net/index.php?em#####################################################
- mo####inafraid.net/index.php?em#####################################################
- mo####incircle.net/index.php?em#####################################################
- po####leafraid.net/index.php?em#####################################################
- si####circle.net/index.php?em#####################################################
- mo####afraid.net/index.php?em#####################################################
- mo####circle.net/index.php?em#####################################################
- po####lemeasure.net/index.php?em#####################################################
- mo####inmeasure.net/index.php?em#####################################################
- po####lecircle.net/index.php?em#####################################################
- pe####scircle.net/index.php?em#####################################################
- wi####afraid.net/index.php?em#####################################################
- wi####circle.net/index.php?em#####################################################
- su####tdinner.net/index.php?em#####################################################
- su####tmeasure.net/index.php?em#####################################################
- wi####measure.net/index.php?em#####################################################
- pe####smeasure.net/index.php?em#####################################################
- pe####sdinner.net/index.php?em#####################################################
- pe####safraid.net/index.php?em#####################################################
- wi####dinner.net/index.php?em#####################################################
- si####afraid.net/index.php?em#####################################################
- ma####albuilt.net/index.php?em#####################################################
- se####lbuilt.net/index.php?em#####################################################
- se####lcarry.net/index.php?em#####################################################
- se####measure.net/index.php?em#####################################################
- ma####alcarry.net/index.php?em#####################################################
- se####lfather.net/index.php?em#####################################################
- pr####lycarry.net/index.php?em#####################################################
- ma####alfather.net/index.php?em#####################################################
- ma####alapple.net/index.php?em#####################################################
- se####lapple.net/index.php?em#####################################################
- la####easure.net/index.php?em#####################################################
- si####measure.net/index.php?em#####################################################
- la###circle.net/index.php?em#####################################################
- mo####measure.net/index.php?em#####################################################
- mo####dinner.net/index.php?em#####################################################
- si####dinner.net/index.php?em#####################################################
- la###dinner.net/index.php?em#####################################################
- se####dinner.net/index.php?em#####################################################
- se####afraid.net/index.php?em#####################################################
- se####circle.net/index.php?em#####################################################
- la###afraid.net/index.php?em#####################################################
UDP:
- DNS ASK po####ledinner.net
- DNS ASK mo####indinner.net
- DNS ASK mo####inafraid.net
- DNS ASK mo####incircle.net
- DNS ASK po####leafraid.net
- DNS ASK si####circle.net
- DNS ASK mo####afraid.net
- DNS ASK mo####circle.net
- DNS ASK po####lemeasure.net
- DNS ASK mo####inmeasure.net
- DNS ASK po####lecircle.net
- DNS ASK pe####scircle.net
- DNS ASK wi####afraid.net
- DNS ASK wi####circle.net
- DNS ASK su####tdinner.net
- DNS ASK su####tmeasure.net
- DNS ASK wi####measure.net
- DNS ASK pe####smeasure.net
- DNS ASK pe####sdinner.net
- DNS ASK pe####safraid.net
- DNS ASK wi####dinner.net
- DNS ASK si####afraid.net
- DNS ASK ma####albuilt.net
- DNS ASK se####lbuilt.net
- DNS ASK se####lcarry.net
- DNS ASK se####measure.net
- DNS ASK ma####alcarry.net
- DNS ASK se####lfather.net
- DNS ASK pr####lycarry.net
- DNS ASK ma####alfather.net
- DNS ASK ma####alapple.net
- DNS ASK se####lapple.net
- DNS ASK la####easure.net
- DNS ASK si####measure.net
- DNS ASK la###circle.net
- DNS ASK mo####measure.net
- DNS ASK mo####dinner.net
- DNS ASK si####dinner.net
- DNS ASK la###dinner.net
- DNS ASK se####dinner.net
- DNS ASK se####afraid.net
- DNS ASK se####circle.net
- DNS ASK la###afraid.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
