Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LAN Service' = '%ProgramFiles%\LAN Service\lansv.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\17221466\gkg.exe %TEMP%\17221466\ruv-tjb'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- User Account Control (UAC)
Creates and executes the following:
- '%TEMP%\17221466\gkg.exe' %TEMP%\17221466\OFFGH
- '%TEMP%\17221466\gkg.exe' ruv-tjb
Executes the following:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Injects code into
the following system processes:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Modifies file system:
Creates the following files:
- %TEMP%\17221466\cvq.txt
- %TEMP%\17221466\mco.xl
- %TEMP%\17221466\fpa.mp3
- %TEMP%\17221466\lxw.xl
- %TEMP%\17221466\toq.ppt
- %TEMP%\17221466\igw.dat
- %TEMP%\17221466\vou.dat
- %TEMP%\17221466\rpe.docx
- %TEMP%\17221466\dgu.txt
- %TEMP%\17221466\jmm.txt
- %TEMP%\17221466\bro.bmp
- %TEMP%\17221466\ssn.jpg
- %TEMP%\17221466\jop.mp4
- %TEMP%\17221466\OFFGH
- %TEMP%\17221466\fvu.mp3
- %TEMP%\17221466\lbk.dat
- %ProgramFiles%\LAN Service\lansv.exe
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\17221466\ini
- %TEMP%\17221466\enf.ico
- %TEMP%\17221466\pbp.docx
- %TEMP%\17221466\fnn.mp4
- %TEMP%\17221466\ebb.icm
- %TEMP%\17221466\tqm.dat
- %TEMP%\17221466\nri.ppt
- %TEMP%\17221466\bkw.icm
- %TEMP%\17221466\mau.bmp
- %TEMP%\17221466\uli.mp4
- %TEMP%\17221466\wfb.jpg
- %TEMP%\17221466\fmk.docx
- %TEMP%\17221466\xni.bmp
- %TEMP%\17221466\uoa.txt
- %TEMP%\17221466\jbt.mp3
- %TEMP%\17221466\gkg.exe
- %TEMP%\17221466\ruv-tjb
- %TEMP%\17221466\xot.dat
- %TEMP%\17221466\tuh.jpg
- %TEMP%\17221466\krp.mp4
- %TEMP%\17221466\paj.ppt
- %TEMP%\17221466\bmg.dat
- %TEMP%\17221466\hhs.dat
- %TEMP%\17221466\npq.mp4
- %TEMP%\17221466\tdp.ppt
- %TEMP%\17221466\kec.bmp
- %TEMP%\17221466\xka.dat
- %TEMP%\17221466\qnd.mp3
- %TEMP%\17221466\gua.bmp
- %TEMP%\17221466\uxg.ico
- %TEMP%\17221466\gxg.ico
- %TEMP%\17221466\idw.jpg
- %TEMP%\17221466\bmb.docx
- %TEMP%\17221466\tlq.bmp
Sets the 'hidden' attribute to the following files:
- %TEMP%\17221466\rpe.docx
- %TEMP%\17221466\qnd.mp3
- %TEMP%\17221466\pbp.docx
- %TEMP%\17221466\tdp.ppt
- %TEMP%\17221466\ssn.jpg
- %TEMP%\17221466\ruv-tjb
- %TEMP%\17221466\mco.xl
- %TEMP%\17221466\mau.bmp
- %TEMP%\17221466\lxw.xl
- %TEMP%\17221466\paj.ppt
- %TEMP%\17221466\nri.ppt
- %TEMP%\17221466\npq.mp4
- %TEMP%\17221466\wfb.jpg
- %TEMP%\17221466\vou.dat
- %TEMP%\17221466\uxg.ico
- %TEMP%\17221466\xot.dat
- %TEMP%\17221466\xni.bmp
- %TEMP%\17221466\xka.dat
- %TEMP%\17221466\tqm.dat
- %TEMP%\17221466\toq.ppt
- %TEMP%\17221466\tlq.bmp
- %TEMP%\17221466\uoa.txt
- %TEMP%\17221466\uli.mp4
- %TEMP%\17221466\tuh.jpg
- %TEMP%\17221466\fmk.docx
- %TEMP%\17221466\enf.ico
- %TEMP%\17221466\ebb.icm
- %TEMP%\17221466\fvu.mp3
- %TEMP%\17221466\fpa.mp3
- %TEMP%\17221466\fnn.mp4
- %TEMP%\17221466\bmg.dat
- %TEMP%\17221466\bmb.docx
- %TEMP%\17221466\bkw.icm
- %TEMP%\17221466\dgu.txt
- %TEMP%\17221466\cvq.txt
- %TEMP%\17221466\bro.bmp
- %TEMP%\17221466\jop.mp4
- %TEMP%\17221466\jmm.txt
- %TEMP%\17221466\jbt.mp3
- %TEMP%\17221466\lbk.dat
- %TEMP%\17221466\krp.mp4
- %TEMP%\17221466\kec.bmp
- %TEMP%\17221466\gxg.ico
- %TEMP%\17221466\gua.bmp
- %TEMP%\17221466\gkg.exe
- %TEMP%\17221466\igw.dat
- %TEMP%\17221466\idw.jpg
- %TEMP%\17221466\hhs.dat
Deletes the following files:
- %TEMP%\17221466\OFFGH
Network activity:
Connects to:
- 'wi####d123.ddns.net':5794
UDP:
- DNS ASK wi####d123.ddns.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'EDIT' WindowName: ''
