Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Netlogon Procedure Notification' = '<SYSTEM32>\ghvirkg.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Debugger Human Tracking Log Call Acquisition] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\ooflmvafh.exe' "<SYSTEM32>\ghvirkg.exe"
- '%WINDIR%\Temp\xqi7fp355cdoqz.exe' -r 47922 tcp
- '%TEMP%\xqi7fp2zrcdoqzqwxtok.exe'
- '<SYSTEM32>\ghvirkg.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\qkrsnnxxgeedw\run
- <SYSTEM32>\qkrsnnxxgeedw\rng
- %WINDIR%\Temp\xqi7fp355cdoqz.exe
- <SYSTEM32>\qkrsnnxxgeedw\cfg
- <SYSTEM32>\ooflmvafh.exe
- %TEMP%\xqi7fp2zrcdoqzqwxtok.exe
- <SYSTEM32>\qkrsnnxxgeedw\tst
- <SYSTEM32>\ghvirkg.exe
- <SYSTEM32>\qkrsnnxxgeedw\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\ooflmvafh.exe
- <SYSTEM32>\ghvirkg.exe
Deletes the following files:
- %WINDIR%\Temp\xqi7fp355cdoqz.exe
- %TEMP%\xqi7fp2zrcdoqzqwxtok.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'cl###guide.net':80
- 'da###uide.net':80
- 'da###ame.net':80
- 'da###alf.net':80
- 'cl###name.net':80
- 'tr###wing.net':80
- 'mi###ast.net':80
- 'mi###ing.net':80
- 'cl###late.net':80
- 'da###ate.net':80
- 'cl###half.net':80
- 'si###alf.net':80
- 'me###ame.net':80
- 'me###alf.net':80
- 'su###ylate.net':80
- 'mo###ate.net':80
- 'me###ate.net':80
- 'si###ate.net':80
- 'si###uide.net':80
- 'si###ame.net':80
- 'me###uide.net':80
- 'si###wing.net':80
- 'th###past.net':80
- 'th###wing.net':80
- 'wi###ish.net':80
- 'du###ish.net':80
- 'th###fish.net':80
- 'si###fish.net':80
- 'si###lady.net':80
- 'si###past.net':80
- 'th###lady.net':80
- 'du###ady.net':80
- 'mi###ish.net':80
- 'tr###fish.net':80
- 'tr###lady.net':80
- 'tr###past.net':80
- 'mi###ady.net':80
- 'du###ast.net':80
- 'wi###ady.net':80
- 'wi###ast.net':80
- 'wi###ing.net':80
- 'du###ing.net':80
- 'th###name.net':80
- 'si###name.net':80
- 'si###half.net':80
- 'du###ate.net':80
- 'th###half.net':80
- 'si###late.net':80
- 'ca###alf.net':80
- 'th###late.net':80
- 'th###guide.net':80
- 'si###guide.net':80
- 'wi###ate.net':80
- 'da###ekilai.com':80
- 'ta###fruit.net':80
- 'la###onea.com':80
- 'do####n4guia.com':80
- 'fr###secas.com':80
- 'wi###uide.net':80
- 'du###uide.net':80
- 'du###ame.net':80
- 'st###march.net':80
- 'wi###ame.net':80
- 'th###ate.net':80
- 'su###yhalf.net':80
- 'qu###late.net':80
- 'qu###guide.net':80
- 'th###uide.net':80
- 'su###yguide.net':80
- 'mo###uide.net':80
- 'mo###ame.net':80
- 'mo###alf.net':80
- 'su###yname.net':80
- 'th###ame.net':80
- 'ca###uide.net':80
- 'he###uide.net':80
- 'he###ame.net':80
- 'he###alf.net':80
- 'ca###ame.net':80
- 'th###alf.net':80
- 'qu###name.net':80
- 'qu###half.net':80
- 'ca###ate.net':80
- 'he###ate.net':80
TCP:
HTTP GET requests:
- http://cl###guide.net/forum/search.php?me#########################################
- http://da###uide.net/forum/search.php?me#########################################
- http://da###ame.net/forum/search.php?me#########################################
- http://da###alf.net/forum/search.php?me#########################################
- http://cl###name.net/forum/search.php?me#########################################
- http://tr###wing.net/forum/search.php?me#########################################
- http://mi###ast.net/forum/search.php?me#########################################
- http://mi###ing.net/forum/search.php?me#########################################
- http://cl###late.net/forum/search.php?me#########################################
- http://da###ate.net/forum/search.php?me#########################################
- http://cl###half.net/forum/search.php?me#########################################
- http://si###alf.net/forum/search.php?me#########################################
- http://me###ame.net/forum/search.php?me#########################################
- http://me###alf.net/forum/search.php?me#########################################
- http://su###ylate.net/forum/search.php?me#########################################
- http://mo###ate.net/forum/search.php?me#########################################
- http://me###ate.net/forum/search.php?me#########################################
- http://si###ate.net/forum/search.php?me#########################################
- http://si###uide.net/forum/search.php?me#########################################
- http://si###ame.net/forum/search.php?me#########################################
- http://me###uide.net/forum/search.php?me#########################################
- http://si###wing.net/forum/search.php?me#########################################
- http://th###past.net/forum/search.php?me#########################################
- http://th###wing.net/forum/search.php?me#########################################
- http://wi###ish.net/forum/search.php?me#########################################
- http://du###ish.net/forum/search.php?me#########################################
- http://th###fish.net/forum/search.php?me#########################################
- http://si###fish.net/forum/search.php?me#########################################
- http://si###lady.net/forum/search.php?me#########################################
- http://si###past.net/forum/search.php?me#########################################
- http://th###lady.net/forum/search.php?me#########################################
- http://du###ady.net/forum/search.php?me#########################################
- http://mi###ish.net/forum/search.php?me#########################################
- http://tr###fish.net/forum/search.php?me#########################################
- http://tr###lady.net/forum/search.php?me#########################################
- http://tr###past.net/forum/search.php?me#########################################
- http://mi###ady.net/forum/search.php?me#########################################
- http://du###ast.net/forum/search.php?me#########################################
- http://wi###ady.net/forum/search.php?me#########################################
- http://wi###ast.net/forum/search.php?me#########################################
- http://wi###ing.net/forum/search.php?me#########################################
- http://du###ing.net/forum/search.php?me#########################################
- http://th###name.net/forum/search.php?me#########################################
- http://si###name.net/forum/search.php?me#########################################
- http://si###half.net/forum/search.php?me#########################################
- http://du###ate.net/forum/search.php?me#########################################
- http://th###half.net/forum/search.php?me#########################################
- http://si###late.net/forum/search.php?me#########################################
- http://ca###alf.net/forum/search.php?me#########################################
- http://th###late.net/forum/search.php?me#########################################
- http://th###guide.net/forum/search.php?me#########################################
- http://si###guide.net/forum/search.php?me#########################################
- http://wi###ate.net/forum/search.php?me#########################################
- http://da###ekilai.com/forum/search.php?me#########################################
- http://ta###fruit.net/forum/search.php?me#########################################
- http://la###onea.com/forum/search.php?me#########################################
- http://do####n4guia.com/forum/search.php?me#########################################
- http://fr###secas.com/forum/search.php?me#########################################
- http://wi###uide.net/forum/search.php?me#########################################
- http://du###uide.net/forum/search.php?me#########################################
- http://du###ame.net/forum/search.php?me#########################################
- http://st###march.net/forum/search.php?me#########################################
- http://wi###ame.net/forum/search.php?me#########################################
- http://th###ate.net/forum/search.php?me#########################################
- http://su###yhalf.net/forum/search.php?me#########################################
- http://qu###late.net/forum/search.php?me#########################################
- http://qu###guide.net/forum/search.php?me#########################################
- http://th###uide.net/forum/search.php?me#########################################
- http://su###yguide.net/forum/search.php?me#########################################
- http://mo###uide.net/forum/search.php?me#########################################
- http://mo###ame.net/forum/search.php?me#########################################
- http://mo###alf.net/forum/search.php?me#########################################
- http://su###yname.net/forum/search.php?me#########################################
- http://th###ame.net/forum/search.php?me#########################################
- http://ca###uide.net/forum/search.php?me#########################################
- http://he###uide.net/forum/search.php?me#########################################
- http://he###ame.net/forum/search.php?me#########################################
- http://he###alf.net/forum/search.php?me#########################################
- http://ca###ame.net/forum/search.php?me#########################################
- http://th###alf.net/forum/search.php?me#########################################
- http://qu###name.net/forum/search.php?me#########################################
- http://qu###half.net/forum/search.php?me#########################################
- http://ca###ate.net/forum/search.php?me#########################################
- http://he###ate.net/forum/search.php?me#########################################
UDP:
- DNS ASK cl###guide.net
- DNS ASK da###uide.net
- DNS ASK da###ame.net
- DNS ASK da###alf.net
- DNS ASK cl###name.net
- DNS ASK tr###wing.net
- DNS ASK mi###ast.net
- DNS ASK mi###ing.net
- DNS ASK cl###late.net
- DNS ASK da###ate.net
- DNS ASK cl###half.net
- DNS ASK si###alf.net
- DNS ASK me###ame.net
- DNS ASK me###alf.net
- DNS ASK su###ylate.net
- DNS ASK mo###ate.net
- DNS ASK me###ate.net
- DNS ASK si###ate.net
- DNS ASK si###uide.net
- DNS ASK si###ame.net
- DNS ASK me###uide.net
- DNS ASK si###wing.net
- DNS ASK th###past.net
- DNS ASK th###wing.net
- DNS ASK wi###ish.net
- DNS ASK du###ish.net
- DNS ASK th###fish.net
- DNS ASK si###fish.net
- DNS ASK si###lady.net
- DNS ASK si###past.net
- DNS ASK th###lady.net
- DNS ASK du###ady.net
- DNS ASK mi###ish.net
- DNS ASK tr###fish.net
- DNS ASK tr###lady.net
- DNS ASK tr###past.net
- DNS ASK mi###ady.net
- DNS ASK du###ast.net
- DNS ASK wi###ady.net
- DNS ASK wi###ast.net
- DNS ASK wi###ing.net
- DNS ASK du###ing.net
- DNS ASK mo###uide.net
- DNS ASK si###half.net
- DNS ASK th###name.net
- DNS ASK th###half.net
- DNS ASK wi###ate.net
- DNS ASK du###ate.net
- DNS ASK th###late.net
- DNS ASK si###late.net
- DNS ASK si###guide.net
- DNS ASK si###name.net
- DNS ASK th###guide.net
- DNS ASK da###ekilai.com
- DNS ASK ta###fruit.net
- DNS ASK la###onea.com
- DNS ASK do####n4guia.com
- DNS ASK fr###secas.com
- DNS ASK wi###uide.net
- DNS ASK du###uide.net
- DNS ASK du###ame.net
- DNS ASK st###march.net
- DNS ASK wi###ame.net
- DNS ASK ca###alf.net
- DNS ASK qu###late.net
- DNS ASK th###ate.net
- DNS ASK th###uide.net
- DNS ASK th###ame.net
- DNS ASK qu###guide.net
- DNS ASK mo###ame.net
- DNS ASK su###yguide.net
- DNS ASK su###yname.net
- DNS ASK su###yhalf.net
- DNS ASK mo###alf.net
- DNS ASK ca###uide.net
- DNS ASK he###uide.net
- DNS ASK he###ame.net
- DNS ASK he###alf.net
- DNS ASK ca###ame.net
- DNS ASK th###alf.net
- DNS ASK qu###name.net
- DNS ASK qu###half.net
- DNS ASK ca###ate.net
- DNS ASK he###ate.net
- '23#.#55.255.250':1900
