Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Control Alerts PnP-X SSDP DCOM List DNS Tools' = '%APPDATA%\akpfvhfjtl\aolfbygelvz.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\akpfvhfjtl\wmoyzmunumvh.exe' "%APPDATA%\akpfvhfjtl\aolfbygelvz.exe"
- '%APPDATA%\akpfvhfjtl\aolfbygelvz.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\akpfvhfjtl\aolfbygelvz.c5m3
- %APPDATA%\akpfvhfjtl\wmoyzmunumvh.exe
- %APPDATA%\akpfvhfjtl\aolfbygelvz.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\akpfvhfjtl\aolfbygelvz.exe
Network activity:
Connects to:
- 'su####except.net':80
- 'ma####ewhose.net':80
- 'fo####nexcept.net':80
- 'fo####nbridge.net':80
- 'su####bridge.net':80
- 'ma####ebridge.net':80
- 'pe####bridge.net':80
- 'pe####bicycle.net':80
- 'pe###nwhose.net':80
- 'ma####ebicycle.net':80
- 'su####bicycle.net':80
- 'ri###bridge.net':80
- 'wh####rbridge.net':80
- 'wh####rbicycle.net':80
- 'wh####rwhose.net':80
- 'ri####icycle.net':80
- 'su###nwhose.net':80
- 'fo####nbicycle.net':80
- 'fo####nwhose.net':80
- 'ri###except.net':80
- 'wh####rexcept.net':80
- 'en####hladder.net':80
- 'ei####ladder.net':80
- 'ei###rboard.net':80
- 'ei###renter.net':80
- 'en####hboard.net':80
- 'ch####enenter.net':80
- 'fa###yboard.net':80
- 'fa###yenter.net':80
- 'en#####character.net':80
- 'ei####character.net':80
- 'en####henter.net':80
- 'ex###twhose.net':80
- 'be####ebicycle.net':80
- 'be####ewhose.net':80
- 'ma####eexcept.net':80
- 'pe####except.net':80
- 'be####eexcept.net':80
- 'ex####except.net':80
- 'ex####bridge.net':80
- 'ex####bicycle.net':80
- 'be####ebridge.net':80
TCP:
HTTP GET requests:
- su####except.net/index.php?em###########################################
- ma####ewhose.net/index.php?em###########################################
- fo####nexcept.net/index.php?em###########################################
- fo####nbridge.net/index.php?em###########################################
- su####bridge.net/index.php?em###########################################
- ma####ebridge.net/index.php?em###########################################
- pe####bridge.net/index.php?em###########################################
- pe####bicycle.net/index.php?em###########################################
- pe###nwhose.net/index.php?em###########################################
- ma####ebicycle.net/index.php?em###########################################
- su####bicycle.net/index.php?em###########################################
- ri###bridge.net/index.php?em###########################################
- wh####rbridge.net/index.php?em###########################################
- wh####rbicycle.net/index.php?em###########################################
- wh####rwhose.net/index.php?em###########################################
- ri####icycle.net/index.php?em###########################################
- su###nwhose.net/index.php?em###########################################
- fo####nbicycle.net/index.php?em###########################################
- fo####nwhose.net/index.php?em###########################################
- ri###except.net/index.php?em###########################################
- wh####rexcept.net/index.php?em###########################################
- en####hladder.net/index.php?em###########################################
- ei####ladder.net/index.php?em###########################################
- ei###rboard.net/index.php?em###########################################
- ei###renter.net/index.php?em###########################################
- en####hboard.net/index.php?em###########################################
- ch####enenter.net/index.php?em###########################################
- fa###yboard.net/index.php?em###########################################
- fa###yenter.net/index.php?em###########################################
- en#####character.net/index.php?em###########################################
- ei####character.net/index.php?em###########################################
- en####henter.net/index.php?em###########################################
- ex###twhose.net/index.php?em###########################################
- be####ebicycle.net/index.php?em###########################################
- be####ewhose.net/index.php?em###########################################
- ma####eexcept.net/index.php?em###########################################
- pe####except.net/index.php?em###########################################
- be####eexcept.net/index.php?em###########################################
- ex####except.net/index.php?em###########################################
- ex####bridge.net/index.php?em###########################################
- ex####bicycle.net/index.php?em###########################################
- be####ebridge.net/index.php?em###########################################
UDP:
- DNS ASK su####except.net
- DNS ASK ma####ewhose.net
- DNS ASK fo####nexcept.net
- DNS ASK fo####nbridge.net
- DNS ASK su####bridge.net
- DNS ASK ma####ebridge.net
- DNS ASK pe####bridge.net
- DNS ASK pe####bicycle.net
- DNS ASK pe###nwhose.net
- DNS ASK ma####ebicycle.net
- DNS ASK su####bicycle.net
- DNS ASK ri###bridge.net
- DNS ASK wh####rbridge.net
- DNS ASK wh####rbicycle.net
- DNS ASK wh####rwhose.net
- DNS ASK ri####icycle.net
- DNS ASK su###nwhose.net
- DNS ASK fo####nbicycle.net
- DNS ASK fo####nwhose.net
- DNS ASK ri###except.net
- DNS ASK wh####rexcept.net
- DNS ASK en####hladder.net
- DNS ASK ei####ladder.net
- DNS ASK ei###rboard.net
- DNS ASK ei###renter.net
- DNS ASK en####hboard.net
- DNS ASK ch####enenter.net
- DNS ASK fa###yboard.net
- DNS ASK fa###yenter.net
- DNS ASK en#####character.net
- DNS ASK ei####character.net
- DNS ASK en####henter.net
- DNS ASK ex###twhose.net
- DNS ASK be####ebicycle.net
- DNS ASK be####ewhose.net
- DNS ASK ma####eexcept.net
- DNS ASK pe####except.net
- DNS ASK be####eexcept.net
- DNS ASK ex####except.net
- DNS ASK ex####bridge.net
- DNS ASK ex####bicycle.net
- DNS ASK be####ebridge.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''