Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Intelligent AuthIP Play Filtering' = '<SYSTEM32>\iccbaxj.exe'
Creates or modifies the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\iccbaxj.exe
Malicious functions:
Creates and executes the following:
- '<SYSTEM32>\iccbaxj.exe'
- '%TEMP%\sh6amx3wpznpycxguf.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
- <SYSTEM32>\iccbaxj.exe
- %TEMP%\~DF6679.tmp
- <SYSTEM32>\fpjlgkxf\tst
- %TEMP%\sh6amx3wpznpycxguf.exe
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\iccbaxj.exe
Deletes the following files:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\sh6amx3wpznpycxguf.exe
Network activity:
Connects to:
- 'ab###aste.net':80
- 'kn###aste.net':80
- 'wi###uess.net':80
- 'kn###llow.net':80
- 'ab###arth.net':80
- 'kn###arth.net':80
- 'dr###guess.net':80
- 'dr###kill.net':80
- 'wi###tood.net':80
- 'dr###stood.net':80
- 'wi###irst.net':80
- 'dr###first.net':80
- 'wi###ill.net':80
- 'ab###llow.net':80
- 'so###ives.net':80
- 'pi###ives.net':80
- 'so###llow.net':80
- 'ro###arth.net':80
- 'si###aste.net':80
- 'ro###aste.net':80
- 'pi###llow.net':80
- 'pi###aste.net':80
- 'ab###ives.net':80
- 'kn###ives.net':80
- 'so###arth.net':80
- 'pi###arth.net':80
- 'so###aste.net':80
- 'th###guess.net':80
- 'li###hot.net':80
- 'so###about.net':80
- 'lo###oss.net':80
- 'mo###ray.net':80
- 'ju###ray.net':80
- 'ab###ach.net':80
- 'yo###njoy.net':80
- 'pe###hecon.com':80
- 'mo###uia.com':80
- 'el#####arimagine.com':80
- 'sa###ave.net':80
- 'ta###wash.net':80
- 'th###rrefk.com':80
- 'wh###irst.net':80
- 'lo###uess.net':80
- 'fe###uess.net':80
- 'lo###irst.net':80
- 'th###first.net':80
- 'th###kill.net':80
- 'th###stood.net':80
- 'fe###irst.net':80
- 'fe###tood.net':80
- 'wh###uess.net':80
- 'hi###uess.net':80
- 'lo###ill.net':80
- 'fe###ill.net':80
- 'lo###tood.net':80
TCP:
HTTP GET requests:
- http://ab###aste.net/forum/search.php?me###################################################################
- http://kn###aste.net/forum/search.php?me###################################################################
- http://wi###uess.net/forum/search.php?me###################################################################
- http://kn###llow.net/forum/search.php?me###################################################################
- http://ab###arth.net/forum/search.php?me###################################################################
- http://kn###arth.net/forum/search.php?me###################################################################
- http://dr###guess.net/forum/search.php?me###################################################################
- http://dr###kill.net/forum/search.php?me###################################################################
- http://wi###tood.net/forum/search.php?me###################################################################
- http://dr###stood.net/forum/search.php?me###################################################################
- http://wi###irst.net/forum/search.php?me###################################################################
- http://dr###first.net/forum/search.php?me###################################################################
- http://wi###ill.net/forum/search.php?me###################################################################
- http://ab###llow.net/forum/search.php?me###################################################################
- http://so###ives.net/forum/search.php?me###################################################################
- http://pi###ives.net/forum/search.php?me###################################################################
- http://so###llow.net/forum/search.php?me###################################################################
- http://ro###arth.net/forum/search.php?me###################################################################
- http://si###aste.net/forum/search.php?me###################################################################
- http://ro###aste.net/forum/search.php?me###################################################################
- http://pi###llow.net/forum/search.php?me###################################################################
- http://pi###aste.net/forum/search.php?me###################################################################
- http://ab###ives.net/forum/search.php?me###################################################################
- http://kn###ives.net/forum/search.php?me###################################################################
- http://so###arth.net/forum/search.php?me###################################################################
- http://pi###arth.net/forum/search.php?me###################################################################
- http://so###aste.net/forum/search.php?me###################################################################
- http://th###guess.net/forum/search.php?me###################################################################
- http://li###hot.net/forum/search.php?me###################################################################
- http://so###about.net/forum/search.php?me###################################################################
- http://lo###oss.net/forum/search.php?me###################################################################
- http://mo###ray.net/forum/search.php?me###################################################################
- http://ju###ray.net/forum/search.php?me###################################################################
- http://ab###ach.net/forum/search.php?me###################################################################
- http://yo###njoy.net/forum/search.php?me###################################################################
- http://pe###hecon.com/forum/search.php?me###################################################################
- http://mo###uia.com/forum/search.php?me###################################################################
- http://el#####arimagine.com/forum/search.php?me###################################################################
- http://sa###ave.net/forum/search.php?me###################################################################
- http://ta###wash.net/forum/search.php?me###################################################################
- http://th###rrefk.com/forum/search.php?me###################################################################
- http://wh###irst.net/forum/search.php?me###################################################################
- http://lo###uess.net/forum/search.php?me###################################################################
- http://fe###uess.net/forum/search.php?me###################################################################
- http://lo###irst.net/forum/search.php?me###################################################################
- http://th###first.net/forum/search.php?me###################################################################
- http://th###kill.net/forum/search.php?me###################################################################
- http://th###stood.net/forum/search.php?me###################################################################
- http://fe###irst.net/forum/search.php?me###################################################################
- http://fe###tood.net/forum/search.php?me###################################################################
- http://wh###uess.net/forum/search.php?me###################################################################
- http://hi###uess.net/forum/search.php?me###################################################################
- http://lo###ill.net/forum/search.php?me###################################################################
- http://fe###ill.net/forum/search.php?me###################################################################
- http://lo###tood.net/forum/search.php?me###################################################################
UDP:
- DNS ASK ab###aste.net
- DNS ASK kn###aste.net
- DNS ASK wi###uess.net
- DNS ASK kn###arth.net
- DNS ASK ab###llow.net
- DNS ASK kn###llow.net
- DNS ASK ab###arth.net
- DNS ASK dr###kill.net
- DNS ASK wi###tood.net
- DNS ASK dr###stood.net
- DNS ASK wi###ill.net
- DNS ASK dr###guess.net
- DNS ASK wi###irst.net
- DNS ASK dr###first.net
- DNS ASK so###ives.net
- DNS ASK pi###ives.net
- DNS ASK so###llow.net
- DNS ASK ro###aste.net
- DNS ASK si###arth.net
- DNS ASK ro###arth.net
- DNS ASK si###aste.net
- DNS ASK pi###aste.net
- DNS ASK ab###ives.net
- DNS ASK kn###ives.net
- DNS ASK so###aste.net
- DNS ASK pi###llow.net
- DNS ASK so###arth.net
- DNS ASK pi###arth.net
- DNS ASK li###hot.net
- DNS ASK so###about.net
- DNS ASK lo###oss.net
- DNS ASK ab###ach.net
- DNS ASK wh###irst.net
- DNS ASK mo###ray.net
- DNS ASK ju###ray.net
- DNS ASK pe###hecon.com
- DNS ASK mo###uia.com
- DNS ASK el#####arimagine.com
- DNS ASK th###rrefk.com
- DNS ASK yo###njoy.net
- DNS ASK sa###ave.net
- DNS ASK ta###wash.net
- DNS ASK lo###uess.net
- DNS ASK fe###uess.net
- DNS ASK lo###irst.net
- DNS ASK th###stood.net
- DNS ASK th###guess.net
- DNS ASK th###first.net
- DNS ASK th###kill.net
- DNS ASK fe###tood.net
- DNS ASK wh###uess.net
- DNS ASK hi###uess.net
- DNS ASK lo###tood.net
- DNS ASK fe###irst.net
- DNS ASK lo###ill.net
- DNS ASK fe###ill.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''