Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Defragmenter Enumerator Auto Scheduler' = '<SYSTEM32>\hdyzfpdra.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Connections Name CardSpace] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\trjpeyjho.exe' "<SYSTEM32>\hdyzfpdra.exe"
- '%WINDIR%\Temp\agvhg13l1uny5n.exe' -r 32514 tcp
- '%TEMP%\agvhg13bqrny5nq7rp34.exe'
- '<SYSTEM32>\hdyzfpdra.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- <SYSTEM32>\kxocjppgqsy\run
- <SYSTEM32>\kxocjppgqsy\rng
- %WINDIR%\Temp\agvhg13l1uny5n.exe
- <SYSTEM32>\kxocjppgqsy\cfg
- <SYSTEM32>\trjpeyjho.exe
- %TEMP%\agvhg13bqrny5nq7rp34.exe
- <SYSTEM32>\kxocjppgqsy\tst
- <SYSTEM32>\hdyzfpdra.exe
- <SYSTEM32>\kxocjppgqsy\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\trjpeyjho.exe
- <SYSTEM32>\hdyzfpdra.exe
Deletes the following files:
- %WINDIR%\Temp\agvhg13l1uny5n.exe
- <DRIVERS>\etc\hosts
- %TEMP%\agvhg13bqrny5nq7rp34.exe
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'yo###ood.net':80
- 'tr###food.net':80
- 'yo###eet.net':80
- 'tr###meet.net':80
- 'yo###eck.net':80
- 'tr###neck.net':80
- 'yo###hown.net':80
- 'tr###shown.net':80
- 'lr###neck.net':80
- 'lr###meet.net':80
- 'vi###ood.net':80
- 'pl###neck.net':80
- 'vi###eet.net':80
- 'lr###shown.net':80
- 'vi###eck.net':80
- 'lr###food.net':80
- 'vi###hown.net':80
- 'ro###tock.net':80
- 'ab###ead.net':80
- 'up###ail.net':80
- 'wa###easy.net':80
- 'sa###econd.net':80
- 'so###blood.net':80
- 'pi###rave.net':80
- 'wi###ruit.net':80
- 'ta###hand.net':80
- 'ta###aise.net':80
- 'wa###aise.net':80
- 'ta###each.net':80
- 'wa###each.net':80
- 'ta###rice.net':80
- 'wa###rice.net':80
- 'ta###roud.net':80
- 'wa###roud.net':80
TCP:
HTTP GET requests:
- yo###ood.net/index.php?me################################################
- tr###food.net/index.php?me################################################
- yo###eet.net/index.php?me################################################
- tr###meet.net/index.php?me################################################
- yo###eck.net/index.php?me################################################
- tr###neck.net/index.php?me################################################
- yo###hown.net/index.php?me################################################
- tr###shown.net/index.php?me################################################
- lr###neck.net/index.php?me################################################
- lr###meet.net/index.php?me################################################
- vi###ood.net/index.php?me################################################
- pl###neck.net/index.php?me################################################
- vi###eet.net/index.php?me################################################
- lr###shown.net/index.php?me################################################
- vi###eck.net/index.php?me################################################
- lr###food.net/index.php?me################################################
- vi###hown.net/index.php?me################################################
- ro###tock.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- up###ail.net/index.php?me################################################
- wa###easy.net/index.php?me################################################
- sa###econd.net/index.php?me################################################
- so###blood.net/index.php?me################################################
- pi###rave.net/index.php?me################################################
- wi###ruit.net/index.php?me################################################
- ta###hand.net/index.php?me################################################
- ta###aise.net/index.php?me################################################
- wa###aise.net/index.php?me################################################
- ta###each.net/index.php?me################################################
- wa###each.net/index.php?me################################################
- ta###rice.net/index.php?me################################################
- wa###rice.net/index.php?me################################################
- ta###roud.net/index.php?me################################################
- wa###roud.net/index.php?me################################################
UDP:
- DNS ASK tr###meet.net
- DNS ASK yo###ood.net
- DNS ASK lr###neck.net
- DNS ASK yo###eet.net
- DNS ASK tr###food.net
- DNS ASK yo###eck.net
- DNS ASK tr###neck.net
- DNS ASK yo###hown.net
- DNS ASK tr###shown.net
- DNS ASK vi###eet.net
- DNS ASK lr###meet.net
- DNS ASK fi###eck.net
- DNS ASK pl###neck.net
- DNS ASK vi###ood.net
- DNS ASK lr###shown.net
- DNS ASK vi###eck.net
- DNS ASK lr###food.net
- DNS ASK vi###hown.net
- DNS ASK ro###tock.net
- DNS ASK ab###ead.net
- DNS ASK up###ail.net
- DNS ASK wa###easy.net
- DNS ASK sa###econd.net
- DNS ASK so###blood.net
- DNS ASK pi###rave.net
- DNS ASK wi###ruit.net
- DNS ASK ta###hand.net
- DNS ASK ta###aise.net
- DNS ASK wa###aise.net
- DNS ASK ta###each.net
- DNS ASK wa###each.net
- DNS ASK ta###rice.net
- DNS ASK wa###rice.net
- DNS ASK ta###roud.net
- DNS ASK wa###roud.net
- '23#.#55.255.250':1900
