Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'VC Input Solutions BranchCache Time' = '%APPDATA%\talgkiookzzwde\ewgmrib.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\talgkiookzzwde\ssqxyqiuh.exe' "%APPDATA%\talgkiookzzwde\ewgmrib.exe"
- '%APPDATA%\talgkiookzzwde\ewgmrib.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\talgkiookzzwde\ewgmrib.n9zsj
- %APPDATA%\talgkiookzzwde\ssqxyqiuh.exe
- %APPDATA%\talgkiookzzwde\ewgmrib.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\talgkiookzzwde\ewgmrib.exe
Network activity:
Connects to:
- 're####article.net':80
- 'va####sarticle.net':80
- 'de####mister.net':80
- 'de####suppose.net':80
- 'fo####dmister.net':80
- 're###nangry.net':80
- 're###ndried.net':80
- 'va####sdried.net':80
- 'va####sfifteen.net':80
- 'va####sangry.net':80
- 're####fifteen.net':80
- 'fo####dsuppose.net':80
- 'gl####uppose.net':80
- 'an####suppose.net':80
- 'an####service.net':80
- 'an###rriver.net':80
- 'gl####ervice.net':80
- 'gl###mister.net':80
- 'fo####dservice.net':80
- 'de####service.net':80
- 'de###eriver.net':80
- 'an####mister.net':80
- 'fo####driver.net':80
- 'ge####article.net':80
- 're####earticle.net':80
- 'or####rticle.net':80
- 'le###rdried.net':80
- 'le####fifteen.net':80
- 'he###ndried.net':80
- 're####eangry.net':80
- 're####edried.net':80
- 'or###dried.net':80
- 'or####ifteen.net':80
- 'or###angry.net':80
- 're####efifteen.net':80
- 'he####fifteen.net':80
- 'ge####fifteen.net':80
- 'he####ifteen.net':80
- 'he###angry.net':80
- 'he####rticle.net':80
- 'ge###eangry.net':80
- 'ge###edried.net':80
- 'he###nangry.net':80
- 'le###rangry.net':80
- 'le####article.net':80
- 'he###dried.net':80
- 'he####article.net':80
TCP:
HTTP GET requests:
- re####article.net/index.php?em#########################################
- va####sarticle.net/index.php?em#########################################
- de####mister.net/index.php?em#########################################
- de####suppose.net/index.php?em#########################################
- fo####dmister.net/index.php?em#########################################
- re###nangry.net/index.php?em#########################################
- re###ndried.net/index.php?em#########################################
- va####sdried.net/index.php?em#########################################
- va####sfifteen.net/index.php?em#########################################
- va####sangry.net/index.php?em#########################################
- re####fifteen.net/index.php?em#########################################
- fo####dsuppose.net/index.php?em#########################################
- gl####uppose.net/index.php?em#########################################
- an####suppose.net/index.php?em#########################################
- an####service.net/index.php?em#########################################
- an###rriver.net/index.php?em#########################################
- gl####ervice.net/index.php?em#########################################
- gl###mister.net/index.php?em#########################################
- fo####dservice.net/index.php?em#########################################
- de####service.net/index.php?em#########################################
- de###eriver.net/index.php?em#########################################
- an####mister.net/index.php?em#########################################
- fo####driver.net/index.php?em#########################################
- ge####article.net/index.php?em#########################################
- re####earticle.net/index.php?em#########################################
- or####rticle.net/index.php?em#########################################
- le###rdried.net/index.php?em#########################################
- le####fifteen.net/index.php?em#########################################
- he###ndried.net/index.php?em#########################################
- re####eangry.net/index.php?em#########################################
- re####edried.net/index.php?em#########################################
- or###dried.net/index.php?em#########################################
- or####ifteen.net/index.php?em#########################################
- or###angry.net/index.php?em#########################################
- re####efifteen.net/index.php?em#########################################
- he####fifteen.net/index.php?em#########################################
- ge####fifteen.net/index.php?em#########################################
- he####ifteen.net/index.php?em#########################################
- he###angry.net/index.php?em#########################################
- he####rticle.net/index.php?em#########################################
- ge###eangry.net/index.php?em#########################################
- ge###edried.net/index.php?em#########################################
- he###nangry.net/index.php?em#########################################
- le###rangry.net/index.php?em#########################################
- le####article.net/index.php?em#########################################
- he###dried.net/index.php?em#########################################
- he####article.net/index.php?em#########################################
UDP:
- DNS ASK re####article.net
- DNS ASK va####sarticle.net
- DNS ASK de####mister.net
- DNS ASK de####suppose.net
- DNS ASK fo####dmister.net
- DNS ASK re###nangry.net
- DNS ASK re###ndried.net
- DNS ASK va####sdried.net
- DNS ASK va####sfifteen.net
- DNS ASK va####sangry.net
- DNS ASK re####fifteen.net
- DNS ASK fo####dsuppose.net
- DNS ASK gl####uppose.net
- DNS ASK an####suppose.net
- DNS ASK an####service.net
- DNS ASK an###rriver.net
- DNS ASK gl####ervice.net
- DNS ASK gl###mister.net
- DNS ASK fo####dservice.net
- DNS ASK de####service.net
- DNS ASK de###eriver.net
- DNS ASK an####mister.net
- DNS ASK fo####driver.net
- DNS ASK ge####article.net
- DNS ASK re####earticle.net
- DNS ASK or####rticle.net
- DNS ASK le###rdried.net
- DNS ASK le####fifteen.net
- DNS ASK he###ndried.net
- DNS ASK re####eangry.net
- DNS ASK re####edried.net
- DNS ASK or###dried.net
- DNS ASK or####ifteen.net
- DNS ASK or###angry.net
- DNS ASK re####efifteen.net
- DNS ASK he####fifteen.net
- DNS ASK ge####fifteen.net
- DNS ASK he####ifteen.net
- DNS ASK he###angry.net
- DNS ASK he####rticle.net
- DNS ASK ge###eangry.net
- DNS ASK ge###edried.net
- DNS ASK he###nangry.net
- DNS ASK le###rangry.net
- DNS ASK le####article.net
- DNS ASK he###dried.net
- DNS ASK he####article.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''