Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'winlogon.exe' = '%TEMP%\82896436\pvh.exe %TEMP%\82896436\kuc=vcl'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'DOS Host' = '%ProgramFiles%\DOS Host\doshost.exe'
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Modifies file system
Creates the following files
- %TEMP%\82896436\xpx.ppt
- %TEMP%\82896436\qrq.ppt
- %TEMP%\82896436\qpn.dat
- %TEMP%\82896436\nqr.xl
- %TEMP%\82896436\cjx.bmp
- %TEMP%\82896436\onc.txt
- %TEMP%\82896436\mul.txt
- %TEMP%\82896436\wqu.dat
- %TEMP%\82896436\dic.dat
- %TEMP%\82896436\tqk.jpg
- %TEMP%\82896436\ovi.xl
- %TEMP%\82896436\gir.txt
- %TEMP%\82896436\nga.ico
- %TEMP%\82896436\tkm.ico
- %TEMP%\82896436\gxo.ppt
- %TEMP%\82896436\tjh.pdf
- %TEMP%\82896436\uut.bmp
- %TEMP%\82896436\asw.icm
- %TEMP%\82896436\mup.dat
- %TEMP%\82896436\cna.pdf
- %TEMP%\82896436\kkk.dat
- %TEMP%\82896436\vil.xl
- %TEMP%\82896436\gtyeo
- %TEMP%\82896436\qri.ico
- %TEMP%\82896436\liv.pdf
- %TEMP%\82896436\dxi.bmp
- %TEMP%\82896436\ubl.icm
- %TEMP%\82896436\kcn.bmp
- %TEMP%\82896436\tit.vbs
- %TEMP%\82896436\pvh.exe
- %TEMP%\82896436\hhf.xl
- %TEMP%\82896436\wcs.pdf
- %TEMP%\82896436\msk.bmp
- %TEMP%\82896436\nxb.mp3
- %TEMP%\82896436\ujt.txt
- %TEMP%\82896436\qgk.docx
- %TEMP%\82896436\ejd.mp3
- %TEMP%\82896436\nij.pdf
- %APPDATA%\5f9fe710-99e6-4c04-be62-a7f1b8b321d1\run.dat
- %TEMP%\82896436\bqm.jpg
- %TEMP%\82896436\tog.txt
- %TEMP%\82896436\bhv.icm
- %TEMP%\82896436\axk.bmp
- %TEMP%\82896436\war.mp4
- %TEMP%\82896436\clw.xl
- %TEMP%\82896436\aoi.bmp
- %TEMP%\82896436\rgh.pdf
- %TEMP%\82896436\epx.mp4
- %TEMP%\82896436\hvs.docx
- %TEMP%\82896436\gxd.pdf
- %TEMP%\82896436\rtw.ico
- %TEMP%\82896436\kuc=vcl
- %TEMP%\82896436\xaf.xl
- %ProgramFiles%\dos host\doshost.exe
Sets the 'hidden' attribute to the following files
- %TEMP%\82896436\pvh.exe
- %TEMP%\82896436\nqr.xl
- %TEMP%\82896436\nxb.mp3
- %TEMP%\82896436\onc.txt
- %TEMP%\82896436\ovi.xl
- %TEMP%\82896436\qgk.docx
- %TEMP%\82896436\qpn.dat
- %TEMP%\82896436\qri.ico
- %TEMP%\82896436\qrq.ppt
- %TEMP%\82896436\rgh.pdf
- %TEMP%\82896436\rtw.ico
- %TEMP%\82896436\tjh.pdf
- %TEMP%\82896436\xaf.xl
- %TEMP%\82896436\tkm.ico
- %TEMP%\82896436\tog.txt
- %TEMP%\82896436\tqk.jpg
- %TEMP%\82896436\ubl.icm
- %TEMP%\82896436\ujt.txt
- %TEMP%\82896436\uut.bmp
- %TEMP%\82896436\vil.xl
- %TEMP%\82896436\war.mp4
- %TEMP%\82896436\wcs.pdf
- %TEMP%\82896436\wqu.dat
- %TEMP%\82896436\nij.pdf
- %TEMP%\82896436\tit.vbs
- %TEMP%\82896436\nga.ico
- %TEMP%\82896436\ejd.mp3
- %TEMP%\82896436\aoi.bmp
- %TEMP%\82896436\asw.icm
- %TEMP%\82896436\axk.bmp
- %TEMP%\82896436\bhv.icm
- %TEMP%\82896436\bqm.jpg
- %TEMP%\82896436\cjx.bmp
- %TEMP%\82896436\clw.xl
- %TEMP%\82896436\cna.pdf
- %TEMP%\82896436\dic.dat
- %TEMP%\82896436\dxi.bmp
- %TEMP%\82896436\epx.mp4
- %TEMP%\82896436\mul.txt
- %TEMP%\82896436\gir.txt
- %TEMP%\82896436\gxd.pdf
- %TEMP%\82896436\gxo.ppt
- %TEMP%\82896436\hhf.xl
- %TEMP%\82896436\hvs.docx
- %TEMP%\82896436\kcn.bmp
- %TEMP%\82896436\kkk.dat
- %TEMP%\82896436\kuc=vcl
- %TEMP%\82896436\liv.pdf
- %TEMP%\82896436\msk.bmp
- %TEMP%\82896436\mup.dat
- %TEMP%\82896436\xpx.ppt
Deletes the following files
- %TEMP%\82896436\gtyeo
Network activity
UDP
- DNS ASK rb#####in9696.ddns.net
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
Creates and executes the following
- '<SYSTEM32>\wscript.exe' "%TEMP%\82896436\tit.vbs"
- '%TEMP%\82896436\pvh.exe' kuc=vcl
- '%TEMP%\82896436\pvh.exe' %TEMP%\82896436\GTYEO
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
