Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\62589976\nhu.exe %TEMP%\62589976\bbx-bel'
Malicious functions:
Creates and executes the following:
- '%TEMP%\62589976\nhu.exe' %TEMP%\62589976\LMZRT
- '%TEMP%\62589976\nhu.exe' bbx-bel
Executes the following:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Injects code into
the following system processes:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Modifies file system:
Creates the following files:
- %TEMP%\62589976\dpl.mp4
- %TEMP%\62589976\lqe.mp3
- %TEMP%\62589976\llu.dat
- %TEMP%\62589976\efc.ppt
- %TEMP%\62589976\ute.jpg
- %TEMP%\62589976\ntw.bmp
- %TEMP%\62589976\qrj.bmp
- %TEMP%\62589976\ief.jpg
- %TEMP%\62589976\iaf.docx
- %TEMP%\62589976\rio.ppt
- %TEMP%\62589976\xpu.jpg
- %TEMP%\62589976\how.xl
- %TEMP%\62589976\lwx.dat
- %TEMP%\62589976\dhn.ppt
- %TEMP%\62589976\anj.txt
- %TEMP%\62589976\qlp.xl
- %TEMP%\62589976\fem.docx
- %TEMP%\62589976\LMZRT
- %APPDATA%\Imminent\Logs\22-11-2017
- %APPDATA%\Imminent\Monitoring\network.dat
- %APPDATA%\Imminent\Monitoring\system.dat
- %TEMP%\62589976\veo.docx
- %TEMP%\62589976\qac.ico
- %TEMP%\62589976\drq.icm
- %TEMP%\62589976\hcp.jpg
- %TEMP%\62589976\qcc.pdf
- %TEMP%\62589976\idl.xl
- %TEMP%\62589976\mdj.bmp
- %TEMP%\62589976\isp.jpg
- %TEMP%\62589976\ega.dat
- %TEMP%\62589976\jvb.dat
- %TEMP%\62589976\aca.pdf
- %TEMP%\62589976\quv.txt
- %TEMP%\62589976\vbg.pdf
- %TEMP%\62589976\auf.xl
- %TEMP%\62589976\mps.mp3
- %TEMP%\62589976\nhu.exe
- %TEMP%\62589976\bbx-bel
- %TEMP%\62589976\fnc.dat
- %TEMP%\62589976\fpx.xl
- %TEMP%\62589976\sxl.ppt
- %TEMP%\62589976\dev.xl
- %TEMP%\62589976\jiw.docx
- %TEMP%\62589976\xih.xl
- %TEMP%\62589976\teq.ico
- %TEMP%\62589976\lju.icm
- %TEMP%\62589976\pmq.jpg
- %TEMP%\62589976\oeh.docx
- %TEMP%\62589976\pxd.ico
- %TEMP%\62589976\vua.mp3
- %TEMP%\62589976\mko.docx
- %TEMP%\62589976\che.dat
- %TEMP%\62589976\fad.ico
- %TEMP%\62589976\lxs.txt
- %TEMP%\62589976\tti.dat
- %TEMP%\62589976\hei.mp4
- %TEMP%\62589976\gus.jpg
Sets the 'hidden' attribute to the following files:
- %TEMP%\62589976\pmq.jpg
- %TEMP%\62589976\oeh.docx
- %TEMP%\62589976\ntw.bmp
- %TEMP%\62589976\qcc.pdf
- %TEMP%\62589976\qac.ico
- %TEMP%\62589976\pxd.ico
- %TEMP%\62589976\nhu.exe
- %TEMP%\62589976\lxs.txt
- %TEMP%\62589976\lwx.dat
- %TEMP%\62589976\lqe.mp3
- %TEMP%\62589976\mps.mp3
- %TEMP%\62589976\mko.docx
- %TEMP%\62589976\mdj.bmp
- %TEMP%\62589976\veo.docx
- %TEMP%\62589976\vbg.pdf
- %TEMP%\62589976\ute.jpg
- %TEMP%\62589976\xpu.jpg
- %TEMP%\62589976\xih.xl
- %TEMP%\62589976\vua.mp3
- %TEMP%\62589976\tti.dat
- %TEMP%\62589976\quv.txt
- %TEMP%\62589976\qrj.bmp
- %TEMP%\62589976\qlp.xl
- %TEMP%\62589976\teq.ico
- %TEMP%\62589976\sxl.ppt
- %TEMP%\62589976\rio.ppt
- %TEMP%\62589976\llu.dat
- %TEMP%\62589976\efc.ppt
- %TEMP%\62589976\drq.icm
- %TEMP%\62589976\dpl.mp4
- %TEMP%\62589976\fem.docx
- %TEMP%\62589976\fad.ico
- %TEMP%\62589976\ega.dat
- %TEMP%\62589976\dhn.ppt
- %TEMP%\62589976\auf.xl
- %TEMP%\62589976\anj.txt
- %TEMP%\62589976\aca.pdf
- %TEMP%\62589976\dev.xl
- %TEMP%\62589976\che.dat
- %TEMP%\62589976\bbx-bel
- %TEMP%\62589976\isp.jpg
- %TEMP%\62589976\ief.jpg
- %TEMP%\62589976\idl.xl
- %TEMP%\62589976\lju.icm
- %TEMP%\62589976\jvb.dat
- %TEMP%\62589976\jiw.docx
- %TEMP%\62589976\iaf.docx
- %TEMP%\62589976\gus.jpg
- %TEMP%\62589976\fpx.xl
- %TEMP%\62589976\fnc.dat
- %TEMP%\62589976\how.xl
- %TEMP%\62589976\hei.mp4
- %TEMP%\62589976\hcp.jpg
Deletes the following files:
- %TEMP%\62589976\LMZRT
Network activity:
Connects to:
- 'cp####g.duckdns.org':599
UDP:
- DNS ASK cp####g.duckdns.org
Miscellaneous:
Searches for the following windows:
- ClassName: 'EDIT' WindowName: ''
