Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Topology Extender Foundation Detection' = '<SYSTEM32>\yzbetxhrbf.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Error Group Ordering Isolation] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\ntknljzlofz.exe' "<SYSTEM32>\yzbetxhrbf.exe"
- '%WINDIR%\Temp\kusbld33irgjvmj.exe' -r 36625 tcp
- '%TEMP%\kusbld2xqugjvmjfxjxxszr.exe'
- '<SYSTEM32>\yzbetxhrbf.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\vzxqpupcso\run
- <SYSTEM32>\vzxqpupcso\rng
- %WINDIR%\Temp\kusbld33irgjvmj.exe
- <SYSTEM32>\vzxqpupcso\cfg
- <SYSTEM32>\ntknljzlofz.exe
- %TEMP%\kusbld2xqugjvmjfxjxxszr.exe
- <SYSTEM32>\vzxqpupcso\tst
- <SYSTEM32>\yzbetxhrbf.exe
- <SYSTEM32>\vzxqpupcso\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\ntknljzlofz.exe
- <SYSTEM32>\yzbetxhrbf.exe
Deletes the following files:
- %WINDIR%\Temp\kusbld33irgjvmj.exe
- <DRIVERS>\etc\hosts
- %TEMP%\kusbld2xqugjvmjfxjxxszr.exe
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'fi###shot.net':80
- 'qu###cause.net':80
- 'fi###cause.net':80
- 'qu###shot.net':80
- 'bo###ure.net':80
- 'qu###back.net':80
- 'fi###back.net':80
- 'qu###sure.net':80
- 'dr###talk.net':80
- 'na###elow.net':80
- 'dr###below.net':80
- 'na###alk.net':80
- 'fi###sure.net':80
- 'na###hirt.net':80
- 'dr###shirt.net':80
- 'ga###ure.net':80
- 'le###shot.net':80
- 'fa###ause.net':80
- 'le###cause.net':80
- 'fa###hot.net':80
- 'mo###sure.net':80
- 'fa###ack.net':80
- 'le###back.net':80
- 'fa###ure.net':80
- 'bo###hot.net':80
- 'ga###ause.net':80
- 'bo###ause.net':80
- 'ga###hot.net':80
- 'le###sure.net':80
- 'ga###ack.net':80
- 'bo###ack.net':80
- 'eg###aker.com':80
- 'wa###ord.net':80
- 'bo###lain.net':80
- 'na###eep.com':80
- 'fo###wash.net':80
- 'af###wash.net':80
- 'it###need.com':80
- 'fr###yloss.net':80
- 'lo###old.net':80
- 'fe###tate.net':80
- 'ab###ead.net':80
- 'mo###next.net':80
- 'mo###gray.net':80
- 'st###ocean.net':80
- 'na###here.net':80
- 'af###below.net':80
- 'we####daytalk.net':80
- 'se###alk.net':80
- 'we####daybelow.net':80
- 'se###hirt.net':80
- 'na###ash.net':80
- 'dr###wash.net':80
- 'we####dayshirt.net':80
- 'se###elow.net':80
- 'fo###talk.net':80
- 'af###talk.net':80
- 'fo###below.net':80
- 'af###shirt.net':80
- 'we####daywash.net':80
- 'se###ash.net':80
- 'fo###shirt.net':80
TCP:
HTTP GET requests:
- http://fi###shot.net/index.php?me################################################
- http://qu###cause.net/index.php?me################################################
- http://fi###cause.net/index.php?me################################################
- http://qu###shot.net/index.php?me################################################
- http://bo###ure.net/index.php?me################################################
- http://qu###back.net/index.php?me################################################
- http://fi###back.net/index.php?me################################################
- http://qu###sure.net/index.php?me################################################
- http://dr###talk.net/index.php?me################################################
- http://na###elow.net/index.php?me################################################
- http://dr###below.net/index.php?me################################################
- http://na###alk.net/index.php?me################################################
- http://fi###sure.net/index.php?me################################################
- http://na###hirt.net/index.php?me################################################
- http://dr###shirt.net/index.php?me################################################
- http://ga###ure.net/index.php?me################################################
- http://le###shot.net/index.php?me################################################
- http://fa###ause.net/index.php?me################################################
- http://le###cause.net/index.php?me################################################
- http://fa###hot.net/index.php?me################################################
- http://mo###sure.net/index.php?me################################################
- http://fa###ack.net/index.php?me################################################
- http://le###back.net/index.php?me################################################
- http://fa###ure.net/index.php?me################################################
- http://bo###hot.net/index.php?me################################################
- http://ga###ause.net/index.php?me################################################
- http://bo###ause.net/index.php?me################################################
- http://ga###hot.net/index.php?me################################################
- http://le###sure.net/index.php?me################################################
- http://ga###ack.net/index.php?me################################################
- http://bo###ack.net/index.php?me################################################
- http://eg###aker.com/index.php?me################################################
- http://wa###ord.net/index.php?me################################################
- http://bo###lain.net/index.php?me################################################
- http://na###eep.com/index.php?me################################################
- http://fo###wash.net/index.php?me################################################
- http://af###wash.net/index.php?me################################################
- http://it###need.com/index.php?me################################################
- http://fr###yloss.net/index.php?me################################################
- http://lo###old.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://mo###next.net/index.php?me################################################
- http://mo###gray.net/index.php?me################################################
- http://st###ocean.net/index.php?me################################################
- http://na###here.net/index.php?me################################################
- http://af###below.net/index.php?me################################################
- http://we####daytalk.net/index.php?me################################################
- http://se###alk.net/index.php?me################################################
- http://we####daybelow.net/index.php?me################################################
- http://se###hirt.net/index.php?me################################################
- http://na###ash.net/index.php?me################################################
- http://dr###wash.net/index.php?me################################################
- http://we####dayshirt.net/index.php?me################################################
- http://se###elow.net/index.php?me################################################
- http://fo###talk.net/index.php?me################################################
- http://af###talk.net/index.php?me################################################
- http://fo###below.net/index.php?me################################################
- http://af###shirt.net/index.php?me################################################
- http://we####daywash.net/index.php?me################################################
- http://se###ash.net/index.php?me################################################
- http://fo###shirt.net/index.php?me################################################
UDP:
- DNS ASK fi###shot.net
- DNS ASK qu###shot.net
- DNS ASK fi###cause.net
- DNS ASK qu###cause.net
- DNS ASK bo###ure.net
- DNS ASK ga###ure.net
- DNS ASK fi###back.net
- DNS ASK qu###back.net
- DNS ASK dr###talk.net
- DNS ASK na###alk.net
- DNS ASK dr###below.net
- DNS ASK na###elow.net
- DNS ASK fi###sure.net
- DNS ASK qu###sure.net
- DNS ASK dr###shirt.net
- DNS ASK na###hirt.net
- DNS ASK le###shot.net
- DNS ASK fa###hot.net
- DNS ASK le###cause.net
- DNS ASK fa###ause.net
- DNS ASK mo###sure.net
- DNS ASK wa###ure.net
- DNS ASK le###back.net
- DNS ASK fa###ack.net
- DNS ASK bo###hot.net
- DNS ASK ga###hot.net
- DNS ASK bo###ause.net
- DNS ASK ga###ause.net
- DNS ASK le###sure.net
- DNS ASK fa###ure.net
- DNS ASK bo###ack.net
- DNS ASK ga###ack.net
- DNS ASK eg###aker.com
- DNS ASK wa###ord.net
- DNS ASK bo###lain.net
- DNS ASK na###eep.com
- DNS ASK fo###wash.net
- DNS ASK af###wash.net
- DNS ASK it###need.com
- DNS ASK fr###yloss.net
- DNS ASK lo###old.net
- DNS ASK fe###tate.net
- DNS ASK ab###ead.net
- DNS ASK mo###next.net
- DNS ASK mo###gray.net
- DNS ASK st###ocean.net
- DNS ASK na###here.net
- DNS ASK af###below.net
- DNS ASK we####daytalk.net
- DNS ASK se###alk.net
- DNS ASK we####daybelow.net
- DNS ASK se###hirt.net
- DNS ASK na###ash.net
- DNS ASK dr###wash.net
- DNS ASK we####dayshirt.net
- DNS ASK se###elow.net
- DNS ASK fo###talk.net
- DNS ASK af###talk.net
- DNS ASK fo###below.net
- DNS ASK af###shirt.net
- DNS ASK we####daywash.net
- DNS ASK se###ash.net
- DNS ASK fo###shirt.net
- '23#.#55.255.250':1900
