Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ykqdx' = '%WINDIR%\SonicMaster.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SonicMaster.exe' = '%WINDIR%\SonicMaster.exe'
Creates or modifies the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\SonicMaster.exe.lnk
Malicious functions:
Executes the following:
- '<SYSTEM32>\taskkill.exe' /f /im QQPCTray.exe
- '<SYSTEM32>\taskkill.exe' /f /im AVKSERV.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVNT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVP.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVP32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVPCC.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVPDOS32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVPM.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVPTC32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVPUPD.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVSCHED32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVWIN95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVWUPD32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im BLACKICE.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CFIADMIN.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CFIAUDIT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CFINET.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CFINET32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CLAW95CF.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CLEANER.EXE
- '<SYSTEM32>\taskkill.exe' /f /im CLEANER3.EXE
- '<SYSTEM32>\taskkill.exe' /f /im DVP95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im DVP95_0.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ECENGINE.EXE
- '<SYSTEM32>\taskkill.exe' /f /im EXPWATCH.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ESAFE.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVGCTRL.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVE32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im THGUARD.EXE
- '<SYSTEM32>\taskkill.exe' /f /im TrojanHunter.exe
- '<SYSTEM32>\taskkill.exe' /f /im (TrojanHunter):TrojanHunter.exe
- '<SYSTEM32>\taskkill.exe' /f /im KVwsc.exe
- '<SYSTEM32>\taskkill.exe' /f /im KVMonXP.exe
- '<SYSTEM32>\taskkill.exe' /f /im KVsrvXP.exe
- '<SYSTEM32>\taskkill.exe' /f /im KVFW.EXE
- '<SYSTEM32>\taskkill.exe' /f /im rav.exe
- '<SYSTEM32>\taskkill.exe' /f /im RAVtimer.exe
- '<SYSTEM32>\taskkill.exe' /f /im RAVmon.exe
- '<SYSTEM32>\taskkill.exe' /f /im RAVmonD.exe
- '<SYSTEM32>\taskkill.exe' /f /im KAVsvcUI.exe
- '<SYSTEM32>\taskkill.exe' /f /im ICSUPPNT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im KAVsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im Iparmor.exe
- '<SYSTEM32>\taskkill.exe' /f /im PFW.exe
- '<SYSTEM32>\taskkill.exe' /f /im _AVP32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im _AVPCC.EXE
- '<SYSTEM32>\taskkill.exe' /f /im _AVPM.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ACKWIN32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ANTI-TROJAN.EXE
- '<SYSTEM32>\taskkill.exe' /f /im APVXDWIN.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AUTODOWN.EXE
- '<SYSTEM32>\taskkill.exe' /f /im AVCONSOL.EXE
- '<SYSTEM32>\taskkill.exe' /f /im F-AGNT95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im F-PROT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im F-PROT95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NVC95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im PADMIN.EOUTPOST.EXE
- '<SYSTEM32>\taskkill.exe' /f /im PAVCL.EXE
- '<SYSTEM32>\taskkill.exe' /f /im PAVSCHED.EXE
- '<SYSTEM32>\taskkill.exe' /f /im PAVW.EXE
- '<SYSTEM32>\taskkill.exe' /f /im TDS2-98.EXE
- '<SYSTEM32>\taskkill.exe' /f /im TDS2-NT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im VET95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im VETTRAY.EXE
- '<SYSTEM32>\taskkill.exe' /f /im VSCAN40.EXE
- '<SYSTEM32>\taskkill.exe' /f /im VSECOMR.EXE
- '<SYSTEM32>\taskkill.exe' /f /im VSHWIN32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im VSSTAT,EXE
- '<SYSTEM32>\taskkill.exe' /f /im WEBSCANX.EXE
- '<SYSTEM32>\taskkill.exe' /f /im WFINDV32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ZONEALARM.EXE
- '<SYSTEM32>\taskkill.exe' /f /im vptray.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccRegVfy.exe
- '<SYSTEM32>\taskkill.exe' /f /im NPFMntor.exe
- '<SYSTEM32>\taskkill.exe' /f /im Navapw32.exe
- '<SYSTEM32>\taskkill.exe' /f /im Navapsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im 360Tray.exe
- '<SYSTEM32>\taskkill.exe' /f /im NORMIST.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NAVWNT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NUPGRADE.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NISUM.EXE
- '<SYSTEM32>\taskkill.exe' /f /im F-STOPW.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NAVW32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im FINDVIRU.EXE
- '<SYSTEM32>\taskkill.exe' /f /im FP-WIN.EXE
- '<SYSTEM32>\taskkill.exe' /f /im FPROT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im FRW.EXE
- '<SYSTEM32>\taskkill.exe' /f /im IAMAPP.EXE
- '<SYSTEM32>\taskkill.exe' /f /im IAMSERV.EXE
- '<SYSTEM32>\taskkill.exe' /f /im IBMASN.EXE
- '<SYSTEM32>\taskkill.exe' /f /im IBMAVSP.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ICLOAD95.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ICLOADNT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im rising.exe
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\taskkill.exe' /f /im IFACE.EXE
- '<SYSTEM32>\taskkill.exe' /f /im IOMON98.EXE
- '<SYSTEM32>\taskkill.exe' /f /im JEDI.EXE
- '<SYSTEM32>\taskkill.exe' /f /im LOCKDOWN2000.EXE
- '<SYSTEM32>\taskkill.exe' /f /im LOOKOUT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im LUALL.EXE
- '<SYSTEM32>\taskkill.exe' /f /im MOOLIVE.EXE
- '<SYSTEM32>\taskkill.exe' /f /im MPFTRAY.EXE
- '<SYSTEM32>\taskkill.exe' /f /im N32SCANW.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NAVLU32.EXE
- '<SYSTEM32>\taskkill.exe' /f /im NAVNT.EXE
- '<SYSTEM32>\taskkill.exe' /f /im ICSUPP95.EXE
- '<SYSTEM32>\net.exe' stop mpssvc
Injects code into
the following system processes:
- <SYSTEM32>\cmd.exe
Terminates or attempts to terminate
the following user processes:
- NAVAPW32.EXE
- 360tray.exe
- mpftray.exe
- AVPM.EXE
- AVP32.EXE
- AVPCC.EXE
- AVGCTRL.EXE
- AVP.EXE
Modifies file system:
Creates the following files:
- %WINDIR%\SonicMaster.exe
Deletes the following files:
- <Full path to file>
Network activity:
Connects to:
- 'ww####du.cqnnn.top':30928
UDP:
- DNS ASK ww####du.cqnnn.top
Miscellaneous:
Searches for the following windows:
- ClassName: '' WindowName: ''
- ClassName: '#32770' WindowName: 'Windows ??????????'
- ClassName: '#32770' WindowName: 'Windows ИООс№ЬАнЖч'
Creates and executes the following:
- '%WINDIR%\SonicMaster.exe'
Executes the following:
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net1.exe' stop mpssvc
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\cmd.exe' /c ping 1.1.1.1 -n 1 -w 3000 & del "<Full path to file>"
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 3000
