Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\62897545\ffo.exe %TEMP%\62897545\wih=ppm'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- User Account Control (UAC)
Creates and executes the following:
- '%TEMP%\62897545\ffo.exe' %TEMP%\62897545\JUVGE
- '%TEMP%\62897545\ffo.exe' wih=ppm
Executes the following:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Injects code into
the following system processes:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Modifies file system:
Creates the following files:
- %TEMP%\62897545\fow.dat
- %TEMP%\62897545\vrp.pdf
- %TEMP%\62897545\kvx.jpg
- %TEMP%\62897545\eic.mp4
- %TEMP%\62897545\ccp.dat
- %TEMP%\62897545\cuh.ico
- %TEMP%\62897545\psd.mp3
- %TEMP%\62897545\rnl.xl
- %TEMP%\62897545\tks.mp3
- %TEMP%\62897545\fjf.docx
- %TEMP%\62897545\ovc.dat
- %TEMP%\62897545\xgg.mp3
- %TEMP%\62897545\wrq.txt
- %TEMP%\62897545\pfk.mp3
- %TEMP%\62897545\lkt.txt
- %TEMP%\62897545\ave.jpg
- %TEMP%\62897545\tvw.pdf
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\62897545\ini
- %TEMP%\62897545\JUVGE
- %TEMP%\62897545\gme.jpg
- %TEMP%\62897545\htu.bmp
- %TEMP%\62897545\vjs.docx
- %TEMP%\62897545\dov.ppt
- %TEMP%\62897545\kht.mp3
- %TEMP%\62897545\nse.mp4
- %TEMP%\62897545\hrn.xl
- %TEMP%\62897545\sch.jpg
- %TEMP%\62897545\xui.txt
- %TEMP%\62897545\ghi.ppt
- %TEMP%\62897545\ffi.xl
- %TEMP%\62897545\jmj.mp4
- %TEMP%\62897545\jde.ppt
- %TEMP%\62897545\axt.icm
- %TEMP%\62897545\ase.ico
- %TEMP%\62897545\ffo.exe
- %TEMP%\62897545\wih=ppm
- %TEMP%\62897545\ers.icm
- %TEMP%\62897545\sbb.dat
- %TEMP%\62897545\sdt.txt
- %TEMP%\62897545\lel.mp4
- %TEMP%\62897545\jvs.jpg
- %TEMP%\62897545\kik.mp4
- %TEMP%\62897545\idk.ppt
- %TEMP%\62897545\edp.icm
- %TEMP%\62897545\pbc.txt
- %TEMP%\62897545\mrr.xl
- %TEMP%\62897545\itq.txt
- %TEMP%\62897545\sxu.ppt
- %TEMP%\62897545\usq.bmp
- %TEMP%\62897545\slj.dat
- %TEMP%\62897545\exq.bmp
- %TEMP%\62897545\bpc.docx
- %TEMP%\62897545\maq.icm
- %TEMP%\62897545\vpf.bmp
Sets the 'hidden' attribute to the following files:
- %TEMP%\62897545\psd.mp3
- %TEMP%\62897545\pfk.mp3
- %TEMP%\62897545\pbc.txt
- %TEMP%\62897545\sch.jpg
- %TEMP%\62897545\sbb.dat
- %TEMP%\62897545\rnl.xl
- %TEMP%\62897545\ovc.dat
- %TEMP%\62897545\lkt.txt
- %TEMP%\62897545\lel.mp4
- %TEMP%\62897545\kvx.jpg
- %TEMP%\62897545\nse.mp4
- %TEMP%\62897545\mrr.xl
- %TEMP%\62897545\maq.icm
- %TEMP%\62897545\wih=ppm
- %TEMP%\62897545\vrp.pdf
- %TEMP%\62897545\vpf.bmp
- %TEMP%\62897545\xui.txt
- %TEMP%\62897545\xgg.mp3
- %TEMP%\62897545\wrq.txt
- %TEMP%\62897545\vjs.docx
- %TEMP%\62897545\sxu.ppt
- %TEMP%\62897545\slj.dat
- %TEMP%\62897545\sdt.txt
- %TEMP%\62897545\usq.bmp
- %TEMP%\62897545\tvw.pdf
- %TEMP%\62897545\tks.mp3
- %TEMP%\62897545\ers.icm
- %TEMP%\62897545\eic.mp4
- %TEMP%\62897545\edp.icm
- %TEMP%\62897545\ffo.exe
- %TEMP%\62897545\ffi.xl
- %TEMP%\62897545\exq.bmp
- %TEMP%\62897545\dov.ppt
- %TEMP%\62897545\axt.icm
- %TEMP%\62897545\ave.jpg
- %TEMP%\62897545\ase.ico
- %TEMP%\62897545\cuh.ico
- %TEMP%\62897545\ccp.dat
- %TEMP%\62897545\bpc.docx
- %TEMP%\62897545\jmj.mp4
- %TEMP%\62897545\jde.ppt
- %TEMP%\62897545\itq.txt
- %TEMP%\62897545\kik.mp4
- %TEMP%\62897545\kht.mp3
- %TEMP%\62897545\jvs.jpg
- %TEMP%\62897545\idk.ppt
- %TEMP%\62897545\ghi.ppt
- %TEMP%\62897545\fow.dat
- %TEMP%\62897545\fjf.docx
- %TEMP%\62897545\htu.bmp
- %TEMP%\62897545\hrn.xl
- %TEMP%\62897545\gme.jpg
Deletes the following files:
- %TEMP%\62897545\JUVGE
Network activity:
Connects to:
- 'xe###extme.us':49251
UDP:
- DNS ASK xe###extme.us
Miscellaneous:
Searches for the following windows:
- ClassName: 'EDIT' WindowName: ''
