Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Interface Error Shadow Log Image Internet' = '<SYSTEM32>\lehdmnxkb.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\HomeGroup List SSDP Detection Spooler] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\owwejeufi.exe' "<SYSTEM32>\lehdmnxkb.exe"
- '%WINDIR%\Temp\q8qjzbq2s0pbxgg.exe' -r 35855 tcp
- '%TEMP%\q8qjzbq2oyvbxggzcbgwdvb.exe'
- '<SYSTEM32>\lehdmnxkb.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\ordwtgfu\run
- <SYSTEM32>\ordwtgfu\rng
- %WINDIR%\Temp\q8qjzbq2s0pbxgg.exe
- <SYSTEM32>\ordwtgfu\cfg
- <SYSTEM32>\owwejeufi.exe
- %TEMP%\q8qjzbq2oyvbxggzcbgwdvb.exe
- <SYSTEM32>\ordwtgfu\tst
- <SYSTEM32>\lehdmnxkb.exe
- <SYSTEM32>\ordwtgfu\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\owwejeufi.exe
- <SYSTEM32>\lehdmnxkb.exe
Deletes the following files:
- %WINDIR%\Temp\q8qjzbq2s0pbxgg.exe
- %TEMP%\q8qjzbq2oyvbxggzcbgwdvb.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'ta###peace.net':80
- 'le###uesday.net':80
- 'ta####uesday.net':80
- 'ca###ouse.net':80
- 'po###house.net':80
- 'le###eace.net':80
- 'le###ift.net':80
- 'we###eace.net':80
- 'fe###eace.net':80
- 'we###uesday.net':80
- 'ta###gift.net':80
- 'le###ouse.net':80
- 'ta###house.net':80
- 'po###gift.net':80
- 'ri###ouse.net':80
- 'no###eace.net':80
- 'no###uesday.net':80
- 'fa###gift.net':80
- 'ri###ift.net':80
- 'fa###house.net':80
- 'no###ift.net':80
- 'ca###uesday.net':80
- 'po####uesday.net':80
- 'ca###ift.net':80
- 'no###ouse.net':80
- 'ca###eace.net':80
- 'po###peace.net':80
- 'fe###uesday.net':80
- 'sp###ont.net':80
- 'wa###since.net':80
- 'ta###hand.net':80
- 'dr###wide.net':80
- 'ma###han.net':80
- 'of###aunt.net':80
- 'up###ail.net':80
- 'pi###rave.net':80
- 'sa###econd.net':80
- 'so###blood.net':80
- 'wa###easy.net':80
- 'ro###tock.net':80
- 'ab###ead.net':80
- 'pi###ake.net':80
- 'fe###ouse.net':80
- 'li###eace.net':80
- 'th###peace.net':80
- 'we###ift.net':80
- 'fe###ift.net':80
- 'we###ouse.net':80
- 'li###uesday.net':80
- 'li###ouse.net':80
- 'th###house.net':80
- 'wh###ifth.net':80
- 'th####uesday.net':80
- 'li###ift.net':80
- 'th###gift.net':80
TCP:
HTTP GET requests:
- ta###peace.net/index.php?me################################################
- le###uesday.net/index.php?me################################################
- ta####uesday.net/index.php?me################################################
- ca###ouse.net/index.php?me################################################
- po###house.net/index.php?me################################################
- le###eace.net/index.php?me################################################
- le###ift.net/index.php?me################################################
- we###eace.net/index.php?me################################################
- fe###eace.net/index.php?me################################################
- we###uesday.net/index.php?me################################################
- ta###gift.net/index.php?me################################################
- le###ouse.net/index.php?me################################################
- ta###house.net/index.php?me################################################
- po###gift.net/index.php?me################################################
- ri###ouse.net/index.php?me################################################
- no###eace.net/index.php?me################################################
- no###uesday.net/index.php?me################################################
- fa###gift.net/index.php?me################################################
- ri###ift.net/index.php?me################################################
- fa###house.net/index.php?me################################################
- no###ift.net/index.php?me################################################
- ca###uesday.net/index.php?me################################################
- po####uesday.net/index.php?me################################################
- ca###ift.net/index.php?me################################################
- no###ouse.net/index.php?me################################################
- ca###eace.net/index.php?me################################################
- po###peace.net/index.php?me################################################
- fe###uesday.net/index.php?me################################################
- sp###ont.net/index.php?me################################################
- wa###since.net/index.php?me################################################
- ta###hand.net/index.php?me################################################
- dr###wide.net/index.php?me################################################
- ma###han.net/index.php?me################################################
- of###aunt.net/index.php?me################################################
- up###ail.net/index.php?me################################################
- pi###rave.net/index.php?me################################################
- sa###econd.net/index.php?me################################################
- so###blood.net/index.php?me################################################
- wa###easy.net/index.php?me################################################
- ro###tock.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- pi###ake.net/index.php?me################################################
- fe###ouse.net/index.php?me################################################
- li###eace.net/index.php?me################################################
- th###peace.net/index.php?me################################################
- we###ift.net/index.php?me################################################
- fe###ift.net/index.php?me################################################
- we###ouse.net/index.php?me################################################
- li###uesday.net/index.php?me################################################
- li###ouse.net/index.php?me################################################
- th###house.net/index.php?me################################################
- wh###ifth.net/index.php?me################################################
- th####uesday.net/index.php?me################################################
- li###ift.net/index.php?me################################################
- th###gift.net/index.php?me################################################
UDP:
- DNS ASK ta###peace.net
- DNS ASK le###uesday.net
- DNS ASK ta####uesday.net
- DNS ASK le###eace.net
- DNS ASK po###gift.net
- DNS ASK ca###ouse.net
- DNS ASK po###house.net
- DNS ASK we###eace.net
- DNS ASK fe###eace.net
- DNS ASK we###uesday.net
- DNS ASK ta###house.net
- DNS ASK le###ift.net
- DNS ASK ta###gift.net
- DNS ASK le###ouse.net
- DNS ASK ri###ouse.net
- DNS ASK no###eace.net
- DNS ASK no###uesday.net
- DNS ASK fa###house.net
- DNS ASK ri###uesday.net
- DNS ASK fa###gift.net
- DNS ASK ri###ift.net
- DNS ASK ca###uesday.net
- DNS ASK po####uesday.net
- DNS ASK ca###ift.net
- DNS ASK po###peace.net
- DNS ASK no###ift.net
- DNS ASK no###ouse.net
- DNS ASK ca###eace.net
- DNS ASK fe###uesday.net
- DNS ASK sp###ont.net
- DNS ASK wa###since.net
- DNS ASK ta###hand.net
- DNS ASK dr###wide.net
- DNS ASK ma###han.net
- DNS ASK of###aunt.net
- DNS ASK up###ail.net
- DNS ASK pi###rave.net
- DNS ASK sa###econd.net
- DNS ASK so###blood.net
- DNS ASK wa###easy.net
- DNS ASK ro###tock.net
- DNS ASK ab###ead.net
- DNS ASK pi###ake.net
- DNS ASK fe###ouse.net
- DNS ASK li###eace.net
- DNS ASK th###peace.net
- DNS ASK we###ift.net
- DNS ASK fe###ift.net
- DNS ASK we###ouse.net
- DNS ASK li###uesday.net
- DNS ASK li###ouse.net
- DNS ASK th###house.net
- DNS ASK wh###ifth.net
- DNS ASK th####uesday.net
- DNS ASK li###ift.net
- DNS ASK th###gift.net
- '23#.#55.255.250':1900
