Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Biometric Redirector Shell' = '%APPDATA%\qetxdtboycak\ammchzgn.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\qetxdtboycak\hpebbjnspbef.exe' "%APPDATA%\qetxdtboycak\ammchzgn.exe"
- '%APPDATA%\qetxdtboycak\ammchzgn.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\qetxdtboycak\ammchzgn.tbb
- %APPDATA%\qetxdtboycak\hpebbjnspbef.exe
- %APPDATA%\qetxdtboycak\ammchzgn.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\qetxdtboycak\ammchzgn.exe
Network activity:
Connects to:
- 'pi####eclean.net':80
- 'th###hwomen.net':80
- 'ci####tteclean.net':80
- 'ci####ttepaint.net':80
- 'pi####epaint.net':80
- 'th###hpaint.net':80
- 'fi###epaint.net':80
- 'fi####course.net':80
- 'fi###ewomen.net':80
- 'th####course.net':80
- 'pi####ecourse.net':80
- 'fa###ypaint.net':80
- 'ch####enpaint.net':80
- 'ch####encourse.net':80
- 'ch####enwomen.net':80
- 'fa####course.net':80
- 'pi####ewomen.net':80
- 'ci####ttecourse.net':80
- 'ci####ttewomen.net':80
- 'fa###yclean.net':80
- 'ch####enclean.net':80
- 'th###hclean.net':80
- 'su###npaint.net':80
- 'fo####nclean.net':80
- 'fo####npaint.net':80
- 'fo####ncourse.net':80
- 'su####course.net':80
- 'ma####ecourse.net':80
- 'pe####course.net':80
- 'pe###nwomen.net':80
- 'su###nclean.net':80
- 'ma####ewomen.net':80
- 'su###nwomen.net':80
- 'ri###course.net':80
- 'wh####rcourse.net':80
- 'wh####rwomen.net':80
- 'fi###eclean.net':80
- 'ri###women.net':80
- 'wh####rclean.net':80
- 'fo####nwomen.net':80
- 'ri###clean.net':80
- 'ri###paint.net':80
- 'wh####rpaint.net':80
TCP:
HTTP GET requests:
- pi####eclean.net/index.php?em#########################################
- th###hwomen.net/index.php?em#########################################
- ci####tteclean.net/index.php?em#########################################
- ci####ttepaint.net/index.php?em#########################################
- pi####epaint.net/index.php?em#########################################
- th###hpaint.net/index.php?em#########################################
- fi###epaint.net/index.php?em#########################################
- fi####course.net/index.php?em#########################################
- fi###ewomen.net/index.php?em#########################################
- th####course.net/index.php?em#########################################
- pi####ecourse.net/index.php?em#########################################
- fa###ypaint.net/index.php?em#########################################
- ch####enpaint.net/index.php?em#########################################
- ch####encourse.net/index.php?em#########################################
- ch####enwomen.net/index.php?em#########################################
- fa####course.net/index.php?em#########################################
- pi####ewomen.net/index.php?em#########################################
- ci####ttecourse.net/index.php?em#########################################
- ci####ttewomen.net/index.php?em#########################################
- fa###yclean.net/index.php?em#########################################
- ch####enclean.net/index.php?em#########################################
- th###hclean.net/index.php?em#########################################
- su###npaint.net/index.php?em#########################################
- fo####nclean.net/index.php?em#########################################
- fo####npaint.net/index.php?em#########################################
- fo####ncourse.net/index.php?em#########################################
- su####course.net/index.php?em#########################################
- ma####ecourse.net/index.php?em#########################################
- pe####course.net/index.php?em#########################################
- pe###nwomen.net/index.php?em#########################################
- su###nclean.net/index.php?em#########################################
- ma####ewomen.net/index.php?em#########################################
- su###nwomen.net/index.php?em#########################################
- ri###course.net/index.php?em#########################################
- wh####rcourse.net/index.php?em#########################################
- wh####rwomen.net/index.php?em#########################################
- fi###eclean.net/index.php?em#########################################
- ri###women.net/index.php?em#########################################
- wh####rclean.net/index.php?em#########################################
- fo####nwomen.net/index.php?em#########################################
- ri###clean.net/index.php?em#########################################
- ri###paint.net/index.php?em#########################################
- wh####rpaint.net/index.php?em#########################################
UDP:
- DNS ASK pi####eclean.net
- DNS ASK th###hwomen.net
- DNS ASK ci####tteclean.net
- DNS ASK ci####ttepaint.net
- DNS ASK pi####epaint.net
- DNS ASK th###hpaint.net
- DNS ASK fi###epaint.net
- DNS ASK fi####course.net
- DNS ASK fi###ewomen.net
- DNS ASK th####course.net
- DNS ASK pi####ecourse.net
- DNS ASK fa###ypaint.net
- DNS ASK ch####enpaint.net
- DNS ASK ch####encourse.net
- DNS ASK ch####enwomen.net
- DNS ASK fa####course.net
- DNS ASK pi####ewomen.net
- DNS ASK ci####ttecourse.net
- DNS ASK ci####ttewomen.net
- DNS ASK fa###yclean.net
- DNS ASK ch####enclean.net
- DNS ASK th###hclean.net
- DNS ASK su###npaint.net
- DNS ASK fo####nclean.net
- DNS ASK fo####npaint.net
- DNS ASK fo####ncourse.net
- DNS ASK su####course.net
- DNS ASK ma####ecourse.net
- DNS ASK pe####course.net
- DNS ASK pe###nwomen.net
- DNS ASK su###nclean.net
- DNS ASK ma####ewomen.net
- DNS ASK su###nwomen.net
- DNS ASK ri###course.net
- DNS ASK wh####rcourse.net
- DNS ASK wh####rwomen.net
- DNS ASK fi###eclean.net
- DNS ASK ri###women.net
- DNS ASK wh####rclean.net
- DNS ASK fo####nwomen.net
- DNS ASK ri###clean.net
- DNS ASK ri###paint.net
- DNS ASK wh####rpaint.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''