Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Topology PNRP IP DLL Shadow Machine' = '%APPDATA%\zxmlqxqegk\itprngyonr.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\zxmlqxqegk\itprngyonr.exe
- %APPDATA%\zxmlqxqegk\qlwxtuehaqc.exe
- %APPDATA%\zxmlqxqegk\itprngyonr.eiki
Sets the 'hidden' attribute to the following files:
- %APPDATA%\zxmlqxqegk\itprngyonr.exe
Network activity:
Connects to:
- 'ch###minute.net':80
- 'th####ortieth.net':80
- 'pr####tgoodbye.net':80
- 'th####oodbye.net':80
- 'pr####tstranger.net':80
- 'th####tranger.net':80
- 'pr####tadvance.net':80
- 'th####dvance.net':80
- 'cl###corner.net':80
- 'th###corner.net':80
- 'cl####pecial.net':80
- 'th####pecial.net':80
- 'cl###minute.net':80
- 'th###minute.net':80
- 'cl###flower.net':80
- 'th###flower.net':80
- 'we####rcorner.net':80
- 'am####corner.net':80
- 'pr####tfortieth.net':80
- 'ch####dvance.net':80
- 'co####eadvance.net':80
- 'ch####tranger.net':80
- 'mi####goodbye.net':80
- 'tw####stranger.net':80
- 'mi####stranger.net':80
- 'tw####advance.net':80
- 'mi####advance.net':80
- 'al####ortieth.net':80
- 'of####ortieth.net':80
- 'al####oodbye.net':80
- 'al####tranger.net':80
- 'of####oodbye.net':80
- 'of####tranger.net':80
- 'al####dvance.net':80
- 'of####dvance.net':80
- 'co####efortieth.net':80
- 'ch####ortieth.net':80
- 'co####egoodbye.net':80
- 'ch####oodbye.net':80
- 'co####estranger.net':80
- 'tw####goodbye.net':80
- 'we####rspecial.net':80
- 'am####special.net':80
- 'we####rminute.net':80
- 'tw####minute.net':80
- 'mi####minute.net':80
- 'tw####flower.net':80
- 'mi####flower.net':80
- 'al###corner.net':80
- 'of###corner.net':80
- 'al####pecial.net':80
- 'of####pecial.net':80
- 'al###minute.net':80
- 'of###minute.net':80
- 'al###flower.net':80
- 'of###flower.net':80
- 'co####ecorner.net':80
- 'ch###corner.net':80
- 'co####especial.net':80
- 'ch####pecial.net':80
- 'co####eminute.net':80
- 'mi####special.net':80
- 'tw####special.net':80
- 'mi####corner.net':80
- 'tw####corner.net':80
- 'we####rflower.net':80
- 'am####flower.net':80
- 'hi####ycorner.net':80
- 'st####ecorner.net':80
- 'hi####yspecial.net':80
- 'st####especial.net':80
- 'hi####yminute.net':80
- 'st####eminute.net':80
- 'st####eflower.net':80
- 'hi####yflower.net':80
- 'mo####gcorner.net':80
- 'ra####corner.net':80
- 'mo####gspecial.net':80
- 'ra####special.net':80
- 'mo####gminute.net':80
- 'ra####minute.net':80
- 'mo####gflower.net':80
- 'ra####flower.net':80
- 'am####minute.net':80
- 'mi####fortieth.net':80
TCP:
HTTP GET requests:
- http://ch###minute.net/index.php?em#########################################
- http://th####ortieth.net/index.php?em#########################################
- http://pr####tgoodbye.net/index.php?em#########################################
- http://th####oodbye.net/index.php?em#########################################
- http://pr####tstranger.net/index.php?em#########################################
- http://th####tranger.net/index.php?em#########################################
- http://pr####tadvance.net/index.php?em#########################################
- http://th####dvance.net/index.php?em#########################################
- http://cl###corner.net/index.php?em#########################################
- http://th###corner.net/index.php?em#########################################
- http://cl####pecial.net/index.php?em#########################################
- http://th####pecial.net/index.php?em#########################################
- http://cl###minute.net/index.php?em#########################################
- http://th###minute.net/index.php?em#########################################
- http://cl###flower.net/index.php?em#########################################
- http://th###flower.net/index.php?em#########################################
- http://we####rcorner.net/index.php?em#########################################
- http://am####corner.net/index.php?em#########################################
- http://pr####tfortieth.net/index.php?em#########################################
- http://ch####dvance.net/index.php?em#########################################
- http://co####eadvance.net/index.php?em#########################################
- http://ch####tranger.net/index.php?em#########################################
- http://mi####goodbye.net/index.php?em#########################################
- http://tw####stranger.net/index.php?em#########################################
- http://mi####stranger.net/index.php?em#########################################
- http://tw####advance.net/index.php?em#########################################
- http://mi####advance.net/index.php?em#########################################
- http://al####ortieth.net/index.php?em#########################################
- http://of####ortieth.net/index.php?em#########################################
- http://al####oodbye.net/index.php?em#########################################
- http://al####tranger.net/index.php?em#########################################
- http://of####oodbye.net/index.php?em#########################################
- http://of####tranger.net/index.php?em#########################################
- http://al####dvance.net/index.php?em#########################################
- http://of####dvance.net/index.php?em#########################################
- http://co####efortieth.net/index.php?em#########################################
- http://ch####ortieth.net/index.php?em#########################################
- http://co####egoodbye.net/index.php?em#########################################
- http://ch####oodbye.net/index.php?em#########################################
- http://co####estranger.net/index.php?em#########################################
- http://tw####goodbye.net/index.php?em#########################################
- http://we####rspecial.net/index.php?em#########################################
- http://am####special.net/index.php?em#########################################
- http://we####rminute.net/index.php?em#########################################
- http://tw####minute.net/index.php?em#########################################
- http://mi####minute.net/index.php?em#########################################
- http://tw####flower.net/index.php?em#########################################
- http://mi####flower.net/index.php?em#########################################
- http://al###corner.net/index.php?em#########################################
- http://of###corner.net/index.php?em#########################################
- http://al####pecial.net/index.php?em#########################################
- http://of####pecial.net/index.php?em#########################################
- http://al###minute.net/index.php?em#########################################
- http://of###minute.net/index.php?em#########################################
- http://al###flower.net/index.php?em#########################################
- http://of###flower.net/index.php?em#########################################
- http://co####ecorner.net/index.php?em#########################################
- http://ch###corner.net/index.php?em#########################################
- http://co####especial.net/index.php?em#########################################
- http://ch####pecial.net/index.php?em#########################################
- http://co####eminute.net/index.php?em#########################################
- http://mi####special.net/index.php?em#########################################
- http://tw####special.net/index.php?em#########################################
- http://mi####corner.net/index.php?em#########################################
- http://tw####corner.net/index.php?em#########################################
- http://we####rflower.net/index.php?em#########################################
- http://am####flower.net/index.php?em#########################################
- http://hi####ycorner.net/index.php?em#########################################
- http://st####ecorner.net/index.php?em#########################################
- http://hi####yspecial.net/index.php?em#########################################
- http://st####especial.net/index.php?em#########################################
- http://hi####yminute.net/index.php?em#########################################
- http://st####eminute.net/index.php?em#########################################
- http://st####eflower.net/index.php?em#########################################
- http://hi####yflower.net/index.php?em#########################################
- http://mo####gcorner.net/index.php?em#########################################
- http://ra####corner.net/index.php?em#########################################
- http://mo####gspecial.net/index.php?em#########################################
- http://ra####special.net/index.php?em#########################################
- http://mo####gminute.net/index.php?em#########################################
- http://ra####minute.net/index.php?em#########################################
- http://mo####gflower.net/index.php?em#########################################
- http://ra####flower.net/index.php?em#########################################
- http://am####minute.net/index.php?em#########################################
- http://mi####fortieth.net/index.php?em#########################################
UDP:
- DNS ASK ch###minute.net
- DNS ASK th####ortieth.net
- DNS ASK pr####tgoodbye.net
- DNS ASK th####oodbye.net
- DNS ASK pr####tstranger.net
- DNS ASK th####tranger.net
- DNS ASK pr####tadvance.net
- DNS ASK th####dvance.net
- DNS ASK cl###corner.net
- DNS ASK th###corner.net
- DNS ASK cl####pecial.net
- DNS ASK th####pecial.net
- DNS ASK cl###minute.net
- DNS ASK th###minute.net
- DNS ASK cl###flower.net
- DNS ASK th###flower.net
- DNS ASK we####rcorner.net
- DNS ASK am####corner.net
- DNS ASK pr####tfortieth.net
- DNS ASK ch####dvance.net
- DNS ASK co####eadvance.net
- DNS ASK ch####tranger.net
- DNS ASK mi####goodbye.net
- DNS ASK tw####stranger.net
- DNS ASK mi####stranger.net
- DNS ASK tw####advance.net
- DNS ASK mi####advance.net
- DNS ASK al####ortieth.net
- DNS ASK of####ortieth.net
- DNS ASK al####oodbye.net
- DNS ASK al####tranger.net
- DNS ASK of####oodbye.net
- DNS ASK of####tranger.net
- DNS ASK al####dvance.net
- DNS ASK of####dvance.net
- DNS ASK co####efortieth.net
- DNS ASK ch####ortieth.net
- DNS ASK co####egoodbye.net
- DNS ASK ch####oodbye.net
- DNS ASK co####estranger.net
- DNS ASK tw####goodbye.net
- DNS ASK we####rspecial.net
- DNS ASK am####special.net
- DNS ASK we####rminute.net
- DNS ASK tw####minute.net
- DNS ASK mi####minute.net
- DNS ASK tw####flower.net
- DNS ASK mi####flower.net
- DNS ASK al###corner.net
- DNS ASK of###corner.net
- DNS ASK al####pecial.net
- DNS ASK of####pecial.net
- DNS ASK al###minute.net
- DNS ASK of###minute.net
- DNS ASK al###flower.net
- DNS ASK of###flower.net
- DNS ASK co####ecorner.net
- DNS ASK ch###corner.net
- DNS ASK co####especial.net
- DNS ASK ch####pecial.net
- DNS ASK co####eminute.net
- DNS ASK mi####special.net
- DNS ASK tw####special.net
- DNS ASK mi####corner.net
- DNS ASK tw####corner.net
- DNS ASK we####rflower.net
- DNS ASK am####flower.net
- DNS ASK hi####ycorner.net
- DNS ASK st####ecorner.net
- DNS ASK hi####yspecial.net
- DNS ASK st####especial.net
- DNS ASK hi####yminute.net
- DNS ASK st####eminute.net
- DNS ASK st####eflower.net
- DNS ASK hi####yflower.net
- DNS ASK mo####gcorner.net
- DNS ASK ra####corner.net
- DNS ASK mo####gspecial.net
- DNS ASK ra####special.net
- DNS ASK mo####gminute.net
- DNS ASK ra####minute.net
- DNS ASK mo####gflower.net
- DNS ASK ra####flower.net
- DNS ASK am####minute.net
- DNS ASK mi####fortieth.net
Miscellaneous:
Creates and executes the following:
- '%APPDATA%\zxmlqxqegk\itprngyonr.exe'
- '%APPDATA%\zxmlqxqegk\qlwxtuehaqc.exe' "%APPDATA%\zxmlqxqegk\itprngyonr.exe"
