Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Server Alerts Policy Coordinator' = '%APPDATA%\vslrszxxykkmt\mojsigptwu.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\vslrszxxykkmt\mojsigptwu.exe
- %APPDATA%\vslrszxxykkmt\sbkjquyoe.exe
- %APPDATA%\vslrszxxykkmt\mojsigptwu.yqqyl
Sets the 'hidden' attribute to the following files:
- %APPDATA%\vslrszxxykkmt\mojsigptwu.exe
- %APPDATA%\vslrszxxykkmt\sbkjquyoe.exe
Network activity:
Connects to:
- 'ge#####anproduce.net':80
- 'wa####tudent.net':80
- 'wo####ucceed.net':80
- 'sm####ucceed.net':80
- 'wo####etween.net':80
- 'sm####etween.net':80
- 'wo####roduce.net':80
- 'sm####roduce.net':80
- 'wo####tudent.net':80
- 'sm####tudent.net':80
- 'pa####ucceed.net':80
- 'fi####ucceed.net':80
- 'pa####etween.net':80
- 'wa####roduce.net':80
- 'th####tstudent.net':80
- 'fi####etween.net':80
- 'pa####tudent.net':80
- 'fi####tudent.net':80
- 'fr###round.net':80
- 'ex####enceround.net':80
- 'fr####lossary.net':80
- 'ex#####nceglossary.net':80
- 'fr###likely.net':80
- 'ex#####ncelikely.net':80
- 'fr###worth.net':80
- 'ex####enceworth.net':80
- 'ge####manround.net':80
- 'al####yround.net':80
- 'pa####roduce.net':80
- 'fi####roduce.net':80
- 'th####tproduce.net':80
- 'wa####etween.net':80
- 'th####tbetween.net':80
- 'ge#####anstudent.net':80
- 'al####ystudent.net':80
- 'fo####succeed.net':80
- 'me####succeed.net':80
- 'fo####between.net':80
- 'me####between.net':80
- 'fo####produce.net':80
- 'me####produce.net':80
- 'fo####student.net':80
- 'me####student.net':80
- 'be####ucceed.net':80
- 'kn####ucceed.net':80
- 'be####etween.net':80
- 'al####yproduce.net':80
- 'kn####etween.net':80
- 'kn####roduce.net':80
- 'be####tudent.net':80
- 'kn####tudent.net':80
- 'su####succeed.net':80
- 'cr####ucceed.net':80
- 'su####between.net':80
- 'cr####etween.net':80
- 'su####produce.net':80
- 'cr####roduce.net':80
- 'su####student.net':80
- 'cr####tudent.net':80
- 'th####tsucceed.net':80
- 'wa####ucceed.net':80
- 'be####roduce.net':80
- 'ge#####anglossary.net':80
- 'al####yglossary.net':80
TCP:
HTTP GET requests:
- http://ge#####anproduce.net/forum/search.php?em###############################################
- http://wa####tudent.net/forum/search.php?em###############################################
- http://wo####ucceed.net/forum/search.php?em###############################################
- http://sm####ucceed.net/forum/search.php?em###############################################
- http://wo####etween.net/forum/search.php?em###############################################
- http://sm####etween.net/forum/search.php?em###############################################
- http://wo####roduce.net/forum/search.php?em###############################################
- http://sm####roduce.net/forum/search.php?em###############################################
- http://wo####tudent.net/forum/search.php?em###############################################
- http://sm####tudent.net/forum/search.php?em###############################################
- http://pa####ucceed.net/forum/search.php?em###############################################
- http://fi####ucceed.net/forum/search.php?em###############################################
- http://pa####etween.net/forum/search.php?em###############################################
- http://wa####roduce.net/forum/search.php?em###############################################
- http://th####tstudent.net/forum/search.php?em###############################################
- http://fi####etween.net/forum/search.php?em###############################################
- http://pa####tudent.net/forum/search.php?em###############################################
- http://fi####tudent.net/forum/search.php?em###############################################
- http://fr###round.net/forum/search.php?em###############################################
- http://ex####enceround.net/forum/search.php?em###############################################
- http://fr####lossary.net/forum/search.php?em###############################################
- http://ex#####nceglossary.net/forum/search.php?em###############################################
- http://fr###likely.net/forum/search.php?em###############################################
- http://ex#####ncelikely.net/forum/search.php?em###############################################
- http://fr###worth.net/forum/search.php?em###############################################
- http://ex####enceworth.net/forum/search.php?em###############################################
- http://ge####manround.net/forum/search.php?em###############################################
- http://al####yround.net/forum/search.php?em###############################################
- http://pa####roduce.net/forum/search.php?em###############################################
- http://fi####roduce.net/forum/search.php?em###############################################
- http://th####tproduce.net/forum/search.php?em###############################################
- http://wa####etween.net/forum/search.php?em###############################################
- http://th####tbetween.net/forum/search.php?em###############################################
- http://ge#####anstudent.net/forum/search.php?em###############################################
- http://al####ystudent.net/forum/search.php?em###############################################
- http://fo####succeed.net/forum/search.php?em###############################################
- http://me####succeed.net/forum/search.php?em###############################################
- http://fo####between.net/forum/search.php?em###############################################
- http://me####between.net/forum/search.php?em###############################################
- http://fo####produce.net/forum/search.php?em###############################################
- http://me####produce.net/forum/search.php?em###############################################
- http://fo####student.net/forum/search.php?em###############################################
- http://me####student.net/forum/search.php?em###############################################
- http://be####ucceed.net/forum/search.php?em###############################################
- http://kn####ucceed.net/forum/search.php?em###############################################
- http://be####etween.net/forum/search.php?em###############################################
- http://al####yproduce.net/forum/search.php?em###############################################
- http://kn####etween.net/forum/search.php?em###############################################
- http://kn####roduce.net/forum/search.php?em###############################################
- http://be####tudent.net/forum/search.php?em###############################################
- http://kn####tudent.net/forum/search.php?em###############################################
- http://su####succeed.net/forum/search.php?em###############################################
- http://cr####ucceed.net/forum/search.php?em###############################################
- http://su####between.net/forum/search.php?em###############################################
- http://cr####etween.net/forum/search.php?em###############################################
- http://su####produce.net/forum/search.php?em###############################################
- http://cr####roduce.net/forum/search.php?em###############################################
- http://su####student.net/forum/search.php?em###############################################
- http://cr####tudent.net/forum/search.php?em###############################################
- http://th####tsucceed.net/forum/search.php?em###############################################
- http://wa####ucceed.net/forum/search.php?em###############################################
- http://be####roduce.net/forum/search.php?em###############################################
- http://ge#####anglossary.net/forum/search.php?em###############################################
- http://al####yglossary.net/forum/search.php?em###############################################
UDP:
- DNS ASK ge#####anproduce.net
- DNS ASK wa####tudent.net
- DNS ASK wo####ucceed.net
- DNS ASK sm####ucceed.net
- DNS ASK wo####etween.net
- DNS ASK sm####etween.net
- DNS ASK wo####roduce.net
- DNS ASK sm####roduce.net
- DNS ASK wo####tudent.net
- DNS ASK sm####tudent.net
- DNS ASK pa####ucceed.net
- DNS ASK fi####ucceed.net
- DNS ASK pa####etween.net
- DNS ASK wa####roduce.net
- DNS ASK th####tstudent.net
- DNS ASK fi####etween.net
- DNS ASK pa####tudent.net
- DNS ASK fi####tudent.net
- DNS ASK fr###round.net
- DNS ASK ex####enceround.net
- DNS ASK fr####lossary.net
- DNS ASK ex#####nceglossary.net
- DNS ASK fr###likely.net
- DNS ASK ex#####ncelikely.net
- DNS ASK fr###worth.net
- DNS ASK ex####enceworth.net
- DNS ASK ge####manround.net
- DNS ASK al####yround.net
- DNS ASK pa####roduce.net
- DNS ASK fi####roduce.net
- DNS ASK th####tproduce.net
- DNS ASK wa####etween.net
- DNS ASK th####tbetween.net
- DNS ASK ge#####anstudent.net
- DNS ASK al####ystudent.net
- DNS ASK fo####succeed.net
- DNS ASK me####succeed.net
- DNS ASK fo####between.net
- DNS ASK me####between.net
- DNS ASK fo####produce.net
- DNS ASK me####produce.net
- DNS ASK fo####student.net
- DNS ASK me####student.net
- DNS ASK be####ucceed.net
- DNS ASK kn####ucceed.net
- DNS ASK be####etween.net
- DNS ASK al####yproduce.net
- DNS ASK kn####etween.net
- DNS ASK kn####roduce.net
- DNS ASK be####tudent.net
- DNS ASK kn####tudent.net
- DNS ASK su####succeed.net
- DNS ASK cr####ucceed.net
- DNS ASK su####between.net
- DNS ASK cr####etween.net
- DNS ASK su####produce.net
- DNS ASK cr####roduce.net
- DNS ASK su####student.net
- DNS ASK cr####tudent.net
- DNS ASK th####tsucceed.net
- DNS ASK wa####ucceed.net
- DNS ASK be####roduce.net
- DNS ASK ge#####anglossary.net
- DNS ASK al####yglossary.net
Miscellaneous:
Creates and executes the following:
- '%APPDATA%\vslrszxxykkmt\mojsigptwu.exe'
- '%APPDATA%\vslrszxxykkmt\sbkjquyoe.exe' "%APPDATA%\vslrszxxykkmt\mojsigptwu.exe"
