Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Program Center AuthIP Debugger' = '<SYSTEM32>\eehfnvxmxmsr.exe'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Executes the following:
- '<SYSTEM32>\alkacpbj.exe' "<SYSTEM32>\eehfnvxmxmsr.exe"
- '%TEMP%\kgbsqp2pv0rzb0.exe' -r 33872 tcp
- '%TEMP%\kgbsqp2m98rzb0rvxbitep.exe'
- '<SYSTEM32>\eehfnvxmxmsr.exe'
Modifies file system:
Creates the following files:
- <SYSTEM32>\ghezyqoqyzwmfyr\run
- <SYSTEM32>\ghezyqoqyzwmfyr\rng
- %TEMP%\kgbsqp2pv0rzb0.exe
- <SYSTEM32>\ghezyqoqyzwmfyr\cfg
- <SYSTEM32>\alkacpbj.exe
- %TEMP%\kgbsqp2m98rzb0rvxbitep.exe
- <SYSTEM32>\ghezyqoqyzwmfyr\tst
- <SYSTEM32>\eehfnvxmxmsr.exe
- <SYSTEM32>\ghezyqoqyzwmfyr\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\alkacpbj.exe
- <SYSTEM32>\eehfnvxmxmsr.exe
Deletes the following files:
- %TEMP%\kgbsqp2pv0rzb0.exe
- %TEMP%\kgbsqp2m98rzb0rvxbitep.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'si###ach.net':80
- 'ro####sterday.net':80
- 'ro###ach.net':80
- 'ro###eet.net':80
- 'si###eet.net':80
- 'mo###eet.net':80
- 'ju###eet.net':80
- 'si###edge.net':80
- 'si####sterday.net':80
- 'ro###edge.net':80
- 'so###eet.net':80
- 'pi###ach.net':80
- 'pi###eet.net':80
- 'kn###edge.net':80
- 'ab###edge.net':80
- 'pi###edge.net':80
- 'so###edge.net':80
- 'so####sterday.net':80
- 'so###ach.net':80
- 'pi####sterday.net':80
- 'wh###edge.net':80
- 'fe###eet.net':80
- 'hi###edge.net':80
- 'hi####sterday.net':80
- 'wh####sterday.net':80
- 'fe####sterday.net':80
- 'lo####sterday.net':80
- 'lo###ach.net':80
- 'lo###eet.net':80
- 'fe###ach.net':80
- 'ju####sterday.net':80
- 'mo###edge.net':80
- 'mo####sterday.net':80
- 'mo###ach.net':80
- 'ju###ach.net':80
- 'hi###ach.net':80
- 'wh###ach.net':80
- 'wh###eet.net':80
- 'ju###edge.net':80
- 'hi###eet.net':80
- 'ab####sterday.net':80
- 'hi###new.net':80
- 'wh###new.net':80
- 'wh###one.net':80
- 'it###need.com':80
- 'hi###one.net':80
- 'lo###hine.net':80
- 'fe###one.net':80
- 'fe###hine.net':80
- 'fe###ifth.net':80
- 'lo###ifth.net':80
- 'na###here.net':80
- 'fr###yloss.net':80
- 'lo###old.net':80
- 'ab###ead.net':80
- 'fe###tate.net':80
- 'eg###aker.com':80
- 'na###eep.com':80
- 'wr###below.net':80
- 'bo###lain.net':80
- 'gr###grain.net':80
- 'dr###knew.net':80
- 'wi###new.net':80
- 'wi###one.net':80
- 'wi###hine.net':80
- 'dr###done.net':80
- 'ab###ach.net':80
- 'kn####sterday.net':80
- 'kn###ach.net':80
- 'kn###eet.net':80
- 'ab###eet.net':80
- 'th###fifth.net':80
- 'th###shine.net':80
- 'lo###new.net':80
- 'lo###one.net':80
- 'fe###new.net':80
- 'wi###ifth.net':80
- 'dr###shine.net':80
- 'dr###fifth.net':80
- 'th###done.net':80
- 'th###knew.net':80
TCP:
HTTP GET requests:
- http://si###ach.net/index.php?me################################################
- http://ro####sterday.net/index.php?me################################################
- http://ro###ach.net/index.php?me################################################
- http://ro###eet.net/index.php?me################################################
- http://si###eet.net/index.php?me################################################
- http://mo###eet.net/index.php?me################################################
- http://ju###eet.net/index.php?me################################################
- http://si###edge.net/index.php?me################################################
- http://si####sterday.net/index.php?me################################################
- http://ro###edge.net/index.php?me################################################
- http://so###eet.net/index.php?me################################################
- http://pi###ach.net/index.php?me################################################
- http://pi###eet.net/index.php?me################################################
- http://kn###edge.net/index.php?me################################################
- http://ab###edge.net/index.php?me################################################
- http://pi###edge.net/index.php?me################################################
- http://so###edge.net/index.php?me################################################
- http://so####sterday.net/index.php?me################################################
- http://so###ach.net/index.php?me################################################
- http://pi####sterday.net/index.php?me################################################
- http://wh###edge.net/index.php?me################################################
- http://fe###eet.net/index.php?me################################################
- http://hi###edge.net/index.php?me################################################
- http://hi####sterday.net/index.php?me################################################
- http://wh####sterday.net/index.php?me################################################
- http://fe####sterday.net/index.php?me################################################
- http://lo####sterday.net/index.php?me################################################
- http://lo###ach.net/index.php?me################################################
- http://lo###eet.net/index.php?me################################################
- http://fe###ach.net/index.php?me################################################
- http://ju####sterday.net/index.php?me################################################
- http://mo###edge.net/index.php?me################################################
- http://mo####sterday.net/index.php?me################################################
- http://mo###ach.net/index.php?me################################################
- http://ju###ach.net/index.php?me################################################
- http://hi###ach.net/index.php?me################################################
- http://wh###ach.net/index.php?me################################################
- http://wh###eet.net/index.php?me################################################
- http://ju###edge.net/index.php?me################################################
- http://hi###eet.net/index.php?me################################################
- http://ab####sterday.net/index.php?me################################################
- http://hi###new.net/index.php?me################################################
- http://wh###new.net/index.php?me################################################
- http://wh###one.net/index.php?me################################################
- http://it###need.com/index.php?me################################################
- http://hi###one.net/index.php?me################################################
- http://lo###hine.net/index.php?me################################################
- http://fe###one.net/index.php?me################################################
- http://fe###hine.net/index.php?me################################################
- http://fe###ifth.net/index.php?me################################################
- http://lo###ifth.net/index.php?me################################################
- http://na###here.net/index.php?me################################################
- http://fr###yloss.net/index.php?me################################################
- http://lo###old.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://eg###aker.com/index.php?me################################################
- http://na###eep.com/index.php?me################################################
- http://wr###below.net/index.php?me################################################
- http://bo###lain.net/index.php?me################################################
- http://gr###grain.net/index.php?me################################################
- http://dr###knew.net/index.php?me################################################
- http://wi###new.net/index.php?me################################################
- http://wi###one.net/index.php?me################################################
- http://wi###hine.net/index.php?me################################################
- http://dr###done.net/index.php?me################################################
- http://ab###ach.net/index.php?me################################################
- http://kn####sterday.net/index.php?me################################################
- http://kn###ach.net/index.php?me################################################
- http://kn###eet.net/index.php?me################################################
- http://ab###eet.net/index.php?me################################################
- http://th###fifth.net/index.php?me################################################
- http://th###shine.net/index.php?me################################################
- http://lo###new.net/index.php?me################################################
- http://lo###one.net/index.php?me################################################
- http://fe###new.net/index.php?me################################################
- http://wi###ifth.net/index.php?me################################################
- http://dr###shine.net/index.php?me################################################
- http://dr###fifth.net/index.php?me################################################
- http://th###done.net/index.php?me################################################
- http://th###knew.net/index.php?me################################################
UDP:
- DNS ASK si###ach.net
- DNS ASK ro####sterday.net
- DNS ASK ro###ach.net
- DNS ASK ro###eet.net
- DNS ASK si###eet.net
- DNS ASK mo###eet.net
- DNS ASK ju###eet.net
- DNS ASK si###edge.net
- DNS ASK si####sterday.net
- DNS ASK ro###edge.net
- DNS ASK so###eet.net
- DNS ASK pi###ach.net
- DNS ASK pi###eet.net
- DNS ASK kn###edge.net
- DNS ASK ab###edge.net
- DNS ASK pi###edge.net
- DNS ASK so###edge.net
- DNS ASK so####sterday.net
- DNS ASK so###ach.net
- DNS ASK pi####sterday.net
- DNS ASK mo###ach.net
- DNS ASK fe###eet.net
- DNS ASK lo###eet.net
- DNS ASK wh###edge.net
- DNS ASK wh####sterday.net
- DNS ASK hi###edge.net
- DNS ASK lo####sterday.net
- DNS ASK fe###edge.net
- DNS ASK fe####sterday.net
- DNS ASK fe###ach.net
- DNS ASK lo###ach.net
- DNS ASK mo###edge.net
- DNS ASK ju###edge.net
- DNS ASK ju####sterday.net
- DNS ASK ju###ach.net
- DNS ASK mo####sterday.net
- DNS ASK wh###ach.net
- DNS ASK hi####sterday.net
- DNS ASK hi###ach.net
- DNS ASK hi###eet.net
- DNS ASK wh###eet.net
- DNS ASK ab####sterday.net
- DNS ASK hi###new.net
- DNS ASK wh###new.net
- DNS ASK wh###one.net
- DNS ASK it###need.com
- DNS ASK hi###one.net
- DNS ASK lo###hine.net
- DNS ASK fe###one.net
- DNS ASK fe###hine.net
- DNS ASK fe###ifth.net
- DNS ASK lo###ifth.net
- DNS ASK na###here.net
- DNS ASK fr###yloss.net
- DNS ASK lo###old.net
- DNS ASK ab###ead.net
- DNS ASK fe###tate.net
- DNS ASK eg###aker.com
- DNS ASK na###eep.com
- DNS ASK wr###below.net
- DNS ASK bo###lain.net
- DNS ASK gr###grain.net
- DNS ASK dr###knew.net
- DNS ASK wi###new.net
- DNS ASK wi###one.net
- DNS ASK wi###hine.net
- DNS ASK dr###done.net
- DNS ASK ab###ach.net
- DNS ASK kn####sterday.net
- DNS ASK kn###ach.net
- DNS ASK kn###eet.net
- DNS ASK ab###eet.net
- DNS ASK th###fifth.net
- DNS ASK th###shine.net
- DNS ASK lo###new.net
- DNS ASK lo###one.net
- DNS ASK fe###new.net
- DNS ASK wi###ifth.net
- DNS ASK dr###shine.net
- DNS ASK dr###fifth.net
- DNS ASK th###done.net
- DNS ASK th###knew.net
- '23#.#55.255.250':1900
