Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Internet Windows Secure Auto Health Acquisition' = '<SYSTEM32>\yfbhobsp.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Store Compatibility Link CNG Font] 'ImagePath' = '<SYSTEM32>\yfbhobsp.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Store Compatibility Link CNG Font] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\mhmxtksnb.exe' "<SYSTEM32>\yfbhobsp.exe"
- '%WINDIR%\Temp\nvghht2yktjp.exe' -r 36213 tcp
- '%TEMP%\nvghht2v2ijppzpqkn.exe'
- '<SYSTEM32>\yfbhobsp.exe'
Modifies file system:
Creates the following files:
- <SYSTEM32>\fvpbmcezw\run
- <SYSTEM32>\fvpbmcezw\rng
- %WINDIR%\Temp\nvghht2yktjp.exe
- <SYSTEM32>\fvpbmcezw\cfg
- <SYSTEM32>\mhmxtksnb.exe
- %TEMP%\nvghht2v2ijppzpqkn.exe
- <SYSTEM32>\fvpbmcezw\tst
- <SYSTEM32>\yfbhobsp.exe
- <SYSTEM32>\fvpbmcezw\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\mhmxtksnb.exe
- <SYSTEM32>\yfbhobsp.exe
Deletes the following files:
- %WINDIR%\Temp\nvghht2yktjp.exe
- <DRIVERS>\etc\hosts
- %TEMP%\nvghht2v2ijppzpqkn.exe
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'mo###each.net':80
- 'wa###ach.net':80
- 'mo###feet.net':80
- 'wa###eet.net':80
- 'mo####esterday.net':80
- 'wa###edge.net':80
- 'st###feet.net':80
- 'wa####sterday.net':80
- 'mo###wedge.net':80
- 'fa###edge.net':80
- 'le###feet.net':80
- 'fa###eet.net':80
- 'bo###edge.net':80
- 'ga###edge.net':80
- 'le###each.net':80
- 'fa####sterday.net':80
- 'le###wedge.net':80
- 'fa###ach.net':80
- 'le####esterday.net':80
- 'we###eet.net':80
- 'af###wedge.net':80
- 'fo###wedge.net':80
- 'af####esterday.net':80
- 'fo####esterday.net':80
- 'se###eet.net':80
- 'we####dayeach.net':80
- 'se####sterday.net':80
- 'we####dayfeet.net':80
- 'se###ach.net':80
- 'fo###each.net':80
- 'st####esterday.net':80
- 'we####sterday.net':80
- 'st###each.net':80
- 'we###ach.net':80
- 'st###wedge.net':80
- 'fo###feet.net':80
- 'af###each.net':80
- 'we###edge.net':80
- 'af###feet.net':80
- 'ga####sterday.net':80
- 'wa###ord.net':80
- 'na###eep.com':80
- 'fr###yloss.net':80
- 'bo###lain.net':80
- 'eg###aker.com':80
- 'we####dayknew.net':80
- 'dr###fifth.net':80
- 'we####daydone.net':80
- 'se###new.net':80
- 'mo###gray.net':80
- 'fe###tate.net':80
- 'ca###ile.net':80
- 'ab###ead.net':80
- 'mu###appy.net':80
- 'lo###old.net':80
- 'st###ocean.net':80
- 'de####erknew.net':80
- 'mo###next.net':80
- 'na###here.net':80
- 'na###ifth.net':80
- 'fi###wedge.net':80
- 'qu###wedge.net':80
- 'fi####esterday.net':80
- 'qu####esterday.net':80
- 'bo###eet.net':80
- 'ga###ach.net':80
- 'bo####sterday.net':80
- 'ga###eet.net':80
- 'bo###ach.net':80
- 'qu###each.net':80
- 'dr###done.net':80
- 'na###one.net':80
- 'dr###shine.net':80
- 'na###hine.net':80
- 'dr###knew.net':80
- 'qu###feet.net':80
- 'fi###each.net':80
- 'na###new.net':80
- 'fi###feet.net':80
TCP:
HTTP GET requests:
- http://mo###each.net/index.php?me################################################
- http://wa###ach.net/index.php?me################################################
- http://mo###feet.net/index.php?me################################################
- http://wa###eet.net/index.php?me################################################
- http://mo####esterday.net/index.php?me################################################
- http://wa###edge.net/index.php?me################################################
- http://st###feet.net/index.php?me################################################
- http://wa####sterday.net/index.php?me################################################
- http://mo###wedge.net/index.php?me################################################
- http://fa###edge.net/index.php?me################################################
- http://le###feet.net/index.php?me################################################
- http://fa###eet.net/index.php?me################################################
- http://bo###edge.net/index.php?me################################################
- http://ga###edge.net/index.php?me################################################
- http://le###each.net/index.php?me################################################
- http://fa####sterday.net/index.php?me################################################
- http://le###wedge.net/index.php?me################################################
- http://fa###ach.net/index.php?me################################################
- http://le####esterday.net/index.php?me################################################
- http://we###eet.net/index.php?me################################################
- http://af###wedge.net/index.php?me################################################
- http://fo###wedge.net/index.php?me################################################
- http://af####esterday.net/index.php?me################################################
- http://fo####esterday.net/index.php?me################################################
- http://se###eet.net/index.php?me################################################
- http://we####dayeach.net/index.php?me################################################
- http://se####sterday.net/index.php?me################################################
- http://we####dayfeet.net/index.php?me################################################
- http://se###ach.net/index.php?me################################################
- http://fo###each.net/index.php?me################################################
- http://st####esterday.net/index.php?me################################################
- http://we####sterday.net/index.php?me################################################
- http://st###each.net/index.php?me################################################
- http://we###ach.net/index.php?me################################################
- http://st###wedge.net/index.php?me################################################
- http://fo###feet.net/index.php?me################################################
- http://af###each.net/index.php?me################################################
- http://we###edge.net/index.php?me################################################
- http://af###feet.net/index.php?me################################################
- http://ga####sterday.net/index.php?me################################################
- http://wa###ord.net/index.php?me################################################
- http://na###eep.com/index.php?me################################################
- http://fr###yloss.net/index.php?me################################################
- http://bo###lain.net/index.php?me################################################
- http://eg###aker.com/index.php?me################################################
- http://we####dayknew.net/index.php?me################################################
- http://dr###fifth.net/index.php?me################################################
- http://we####daydone.net/index.php?me################################################
- http://se###new.net/index.php?me################################################
- http://mo###gray.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://ca###ile.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://mu###appy.net/index.php?me################################################
- http://lo###old.net/index.php?me################################################
- http://st###ocean.net/index.php?me################################################
- http://de####erknew.net/index.php?me################################################
- http://mo###next.net/index.php?me################################################
- http://na###here.net/index.php?me################################################
- http://na###ifth.net/index.php?me################################################
- http://fi###wedge.net/index.php?me################################################
- http://qu###wedge.net/index.php?me################################################
- http://fi####esterday.net/index.php?me################################################
- http://qu####esterday.net/index.php?me################################################
- http://bo###eet.net/index.php?me################################################
- http://ga###ach.net/index.php?me################################################
- http://bo####sterday.net/index.php?me################################################
- http://ga###eet.net/index.php?me################################################
- http://bo###ach.net/index.php?me################################################
- http://qu###each.net/index.php?me################################################
- http://dr###done.net/index.php?me################################################
- http://na###one.net/index.php?me################################################
- http://dr###shine.net/index.php?me################################################
- http://na###hine.net/index.php?me################################################
- http://dr###knew.net/index.php?me################################################
- http://qu###feet.net/index.php?me################################################
- http://fi###each.net/index.php?me################################################
- http://na###new.net/index.php?me################################################
- http://fi###feet.net/index.php?me################################################
UDP:
- DNS ASK wa###ach.net
- DNS ASK mo####esterday.net
- DNS ASK mo###each.net
- DNS ASK mo###feet.net
- DNS ASK wa###eet.net
- DNS ASK st###feet.net
- DNS ASK we###eet.net
- DNS ASK wa###edge.net
- DNS ASK wa####sterday.net
- DNS ASK mo###wedge.net
- DNS ASK fa###eet.net
- DNS ASK le###each.net
- DNS ASK le###feet.net
- DNS ASK bo###edge.net
- DNS ASK ga###edge.net
- DNS ASK le###wedge.net
- DNS ASK fa###edge.net
- DNS ASK fa####sterday.net
- DNS ASK fa###ach.net
- DNS ASK le####esterday.net
- DNS ASK fo###wedge.net
- DNS ASK se###eet.net
- DNS ASK af###wedge.net
- DNS ASK af####esterday.net
- DNS ASK fo####esterday.net
- DNS ASK se####sterday.net
- DNS ASK we#####ayyesterday.net
- DNS ASK we####dayeach.net
- DNS ASK we####dayfeet.net
- DNS ASK se###ach.net
- DNS ASK we####sterday.net
- DNS ASK st###wedge.net
- DNS ASK st####esterday.net
- DNS ASK st###each.net
- DNS ASK we###ach.net
- DNS ASK af###each.net
- DNS ASK fo###each.net
- DNS ASK fo###feet.net
- DNS ASK we###edge.net
- DNS ASK af###feet.net
- DNS ASK ga####sterday.net
- DNS ASK wa###ord.net
- DNS ASK na###eep.com
- DNS ASK fr###yloss.net
- DNS ASK bo###lain.net
- DNS ASK eg###aker.com
- DNS ASK we####dayknew.net
- DNS ASK dr###fifth.net
- DNS ASK we####daydone.net
- DNS ASK se###new.net
- DNS ASK mo###gray.net
- DNS ASK fe###tate.net
- DNS ASK ca###ile.net
- DNS ASK ab###ead.net
- DNS ASK mu###appy.net
- DNS ASK lo###old.net
- DNS ASK st###ocean.net
- DNS ASK de####erknew.net
- DNS ASK mo###next.net
- DNS ASK na###here.net
- DNS ASK na###ifth.net
- DNS ASK fi###wedge.net
- DNS ASK qu###wedge.net
- DNS ASK fi####esterday.net
- DNS ASK qu####esterday.net
- DNS ASK bo###eet.net
- DNS ASK ga###ach.net
- DNS ASK bo####sterday.net
- DNS ASK ga###eet.net
- DNS ASK bo###ach.net
- DNS ASK qu###each.net
- DNS ASK dr###done.net
- DNS ASK na###one.net
- DNS ASK dr###shine.net
- DNS ASK na###hine.net
- DNS ASK dr###knew.net
- DNS ASK qu###feet.net
- DNS ASK fi###each.net
- DNS ASK na###new.net
- DNS ASK fi###feet.net
- '23#.#55.255.250':1900
