Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'DLL Publication Human PnP-X BitLocker' = '%APPDATA%\lesbhatwrox\atwfrxygcxj.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\lesbhatwrox\cyacapnx.exe' "%APPDATA%\lesbhatwrox\atwfrxygcxj.exe"
- '%APPDATA%\lesbhatwrox\atwfrxygcxj.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\lesbhatwrox\atwfrxygcxj.uj
- %APPDATA%\lesbhatwrox\cyacapnx.exe
- %APPDATA%\lesbhatwrox\atwfrxygcxj.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\lesbhatwrox\atwfrxygcxj.exe
Network activity:
Connects to:
- 'wo###wagon.net':80
- 'sm###wagon.net':80
- 'th####tprobable.net':80
- 'wa####robable.net':80
- 'wo####ithout.net':80
- 'sm####itchen.net':80
- 'wo####robable.net':80
- 'sm####ithout.net':80
- 'wo####itchen.net':80
- 'cr####robable.net':80
- 'th####twagon.net':80
- 'cr####itchen.net':80
- 'su####probable.net':80
- 'wa###wagon.net':80
- 'th####tkitchen.net':80
- 'wa####itchen.net':80
- 'th####twithout.net':80
- 'wa####ithout.net':80
- 'fr###around.net':80
- 'ex#####ncearound.net':80
- 'fr####elcome.net':80
- 'ex#####ncewelcome.net':80
- 'fr###proud.net':80
- 'ex#####ncecomplete.net':80
- 'ge#####anwelcome.net':80
- 'ex####enceproud.net':80
- 'fr####omplete.net':80
- 'fi###wagon.net':80
- 'pa####ithout.net':80
- 'sm####robable.net':80
- 'pa###wagon.net':80
- 'fi####ithout.net':80
- 'pa####robable.net':80
- 'fi####robable.net':80
- 'pa####itchen.net':80
- 'fi####itchen.net':80
- 'su####kitchen.net':80
- 'al####ywithout.net':80
- 'ge#####ankitchen.net':80
- 'al####ywagon.net':80
- 'ge#####anwithout.net':80
- 'al####ykitchen.net':80
- 'fo###wwagon.net':80
- 'me###rwagon.net':80
- 'ge#####anprobable.net':80
- 'al####yprobable.net':80
- 'fr####ithout.net':80
- 'ex#####ncewithout.net':80
- 'fr###wagon.net':80
- 'ex####encewagon.net':80
- 'fr####itchen.net':80
- 'ex#####nceprobable.net':80
- 'ge####manwagon.net':80
- 'ex#####ncekitchen.net':80
- 'fr####robable.net':80
- 'kn####itchen.net':80
- 'be####robable.net':80
- 'kn####ithout.net':80
- 'be####itchen.net':80
- 'kn####robable.net':80
- 'su####without.net':80
- 'cr####ithout.net':80
- 'su###rwagon.net':80
- 'cr###wagon.net':80
- 'fo####kitchen.net':80
- 'me####kitchen.net':80
- 'fo####without.net':80
- 'me####without.net':80
- 'fo####probable.net':80
- 'kn###wagon.net':80
- 'be####ithout.net':80
- 'me####probable.net':80
- 'be###wagon.net':80
TCP:
HTTP GET requests:
- http://wo###wagon.net/index.php?em#############################################
- http://sm###wagon.net/index.php?em#############################################
- http://th####tprobable.net/index.php?em#############################################
- http://wa####robable.net/index.php?em#############################################
- http://wo####ithout.net/index.php?em#############################################
- http://sm####itchen.net/index.php?em#############################################
- http://wo####robable.net/index.php?em#############################################
- http://sm####ithout.net/index.php?em#############################################
- http://wo####itchen.net/index.php?em#############################################
- http://cr####robable.net/index.php?em#############################################
- http://th####twagon.net/index.php?em#############################################
- http://cr####itchen.net/index.php?em#############################################
- http://su####probable.net/index.php?em#############################################
- http://wa###wagon.net/index.php?em#############################################
- http://th####tkitchen.net/index.php?em#############################################
- http://wa####itchen.net/index.php?em#############################################
- http://th####twithout.net/index.php?em#############################################
- http://wa####ithout.net/index.php?em#############################################
- http://fr###around.net/index.php?em#############################################
- http://ex#####ncearound.net/index.php?em#############################################
- http://fr####elcome.net/index.php?em#############################################
- http://ex#####ncewelcome.net/index.php?em#############################################
- http://fr###proud.net/index.php?em#############################################
- http://ex#####ncecomplete.net/index.php?em#############################################
- http://ge#####anwelcome.net/index.php?em#############################################
- http://ex####enceproud.net/index.php?em#############################################
- http://fr####omplete.net/index.php?em#############################################
- http://fi###wagon.net/index.php?em#############################################
- http://pa####ithout.net/index.php?em#############################################
- http://sm####robable.net/index.php?em#############################################
- http://pa###wagon.net/index.php?em#############################################
- http://fi####ithout.net/index.php?em#############################################
- http://pa####robable.net/index.php?em#############################################
- http://fi####robable.net/index.php?em#############################################
- http://pa####itchen.net/index.php?em#############################################
- http://fi####itchen.net/index.php?em#############################################
- http://su####kitchen.net/index.php?em#############################################
- http://al####ywithout.net/index.php?em#############################################
- http://ge#####ankitchen.net/index.php?em#############################################
- http://al####ywagon.net/index.php?em#############################################
- http://ge#####anwithout.net/index.php?em#############################################
- http://al####ykitchen.net/index.php?em#############################################
- http://fo###wwagon.net/index.php?em#############################################
- http://me###rwagon.net/index.php?em#############################################
- http://ge#####anprobable.net/index.php?em#############################################
- http://al####yprobable.net/index.php?em#############################################
- http://fr####ithout.net/index.php?em#############################################
- http://ex#####ncewithout.net/index.php?em#############################################
- http://fr###wagon.net/index.php?em#############################################
- http://ex####encewagon.net/index.php?em#############################################
- http://fr####itchen.net/index.php?em#############################################
- http://ex#####nceprobable.net/index.php?em#############################################
- http://ge####manwagon.net/index.php?em#############################################
- http://ex#####ncekitchen.net/index.php?em#############################################
- http://fr####robable.net/index.php?em#############################################
- http://kn####itchen.net/index.php?em#############################################
- http://be####robable.net/index.php?em#############################################
- http://kn####ithout.net/index.php?em#############################################
- http://be####itchen.net/index.php?em#############################################
- http://kn####robable.net/index.php?em#############################################
- http://su####without.net/index.php?em#############################################
- http://cr####ithout.net/index.php?em#############################################
- http://su###rwagon.net/index.php?em#############################################
- http://cr###wagon.net/index.php?em#############################################
- http://fo####kitchen.net/index.php?em#############################################
- http://me####kitchen.net/index.php?em#############################################
- http://fo####without.net/index.php?em#############################################
- http://me####without.net/index.php?em#############################################
- http://fo####probable.net/index.php?em#############################################
- http://kn###wagon.net/index.php?em#############################################
- http://be####ithout.net/index.php?em#############################################
- http://me####probable.net/index.php?em#############################################
- http://be###wagon.net/index.php?em#############################################
UDP:
- DNS ASK wo###wagon.net
- DNS ASK sm###wagon.net
- DNS ASK th####tprobable.net
- DNS ASK wa####robable.net
- DNS ASK wo####ithout.net
- DNS ASK sm####itchen.net
- DNS ASK wo####robable.net
- DNS ASK sm####ithout.net
- DNS ASK wo####itchen.net
- DNS ASK cr####robable.net
- DNS ASK th####twagon.net
- DNS ASK cr####itchen.net
- DNS ASK su####probable.net
- DNS ASK wa###wagon.net
- DNS ASK th####tkitchen.net
- DNS ASK wa####itchen.net
- DNS ASK th####twithout.net
- DNS ASK wa####ithout.net
- DNS ASK sm####robable.net
- DNS ASK ex#####ncearound.net
- DNS ASK fr###proud.net
- DNS ASK ex#####ncewelcome.net
- DNS ASK fr###around.net
- DNS ASK ex####enceproud.net
- DNS ASK ge#####anwelcome.net
- DNS ASK al####ywelcome.net
- DNS ASK fr####omplete.net
- DNS ASK ex#####ncecomplete.net
- DNS ASK pa####ithout.net
- DNS ASK fi####ithout.net
- DNS ASK pa###wagon.net
- DNS ASK fi###wagon.net
- DNS ASK pa####itchen.net
- DNS ASK fi####robable.net
- DNS ASK fr####elcome.net
- DNS ASK fi####itchen.net
- DNS ASK pa####robable.net
- DNS ASK al####ywithout.net
- DNS ASK ge#####ankitchen.net
- DNS ASK al####ywagon.net
- DNS ASK ge#####anwithout.net
- DNS ASK al####ykitchen.net
- DNS ASK fo###wwagon.net
- DNS ASK me###rwagon.net
- DNS ASK ge#####anprobable.net
- DNS ASK al####yprobable.net
- DNS ASK fr####ithout.net
- DNS ASK ex#####ncewithout.net
- DNS ASK fr###wagon.net
- DNS ASK ex####encewagon.net
- DNS ASK fr####itchen.net
- DNS ASK ex#####nceprobable.net
- DNS ASK ge####manwagon.net
- DNS ASK ex#####ncekitchen.net
- DNS ASK fr####robable.net
- DNS ASK fo####without.net
- DNS ASK be####robable.net
- DNS ASK kn####robable.net
- DNS ASK be####itchen.net
- DNS ASK kn####itchen.net
- DNS ASK su###rwagon.net
- DNS ASK cr####ithout.net
- DNS ASK su####kitchen.net
- DNS ASK cr###wagon.net
- DNS ASK su####without.net
- DNS ASK me####kitchen.net
- DNS ASK fo####probable.net
- DNS ASK me####without.net
- DNS ASK fo####kitchen.net
- DNS ASK me####probable.net
- DNS ASK be####ithout.net
- DNS ASK kn####ithout.net
- DNS ASK be###wagon.net
- DNS ASK kn###wagon.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''