Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'qwertyhgfdghntre.exe' = '%TEMP%\82949812\omn.exe %TEMP%\82949812\QED_TM~1'
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe
Searches for registry branches where third party applications store passwords
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Identities\{A393BE9D-3F97-4C05-BBA1-37C8B8CA0B32}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Identities\{A393BE9D-3F97-4C05-BBA1-37C8B8CA0B32}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
Reads files which store third party applications passwords
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\chromium\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %TEMP%\82949812\qgp.bmp
- %TEMP%\82949812\vrl.mp4
- %TEMP%\82949812\ris.icm
- %TEMP%\82949812\rba.mp3
- %TEMP%\82949812\rdg.icm
- %TEMP%\82949812\utn.bmp
- %TEMP%\82949812\rhx.ico
- %TEMP%\82949812\lbm.icm
- %TEMP%\82949812\qbc.ico
- %TEMP%\82949812\lnx.ppt
- %TEMP%\82949812\pvl.pdf
- %TEMP%\82949812\emu.mp3
- %TEMP%\82949812\dgu.ppt
- %TEMP%\82949812\ulv.icm
- %TEMP%\82949812\uws.icm
- %TEMP%\82949812\edq.xl
- %TEMP%\82949812\ooh.txt
- %TEMP%\82949812\gva.xl
- %TEMP%\82949812\krj.jpg
- %TEMP%\82949812\kmv.dat
- %TEMP%\82949812\oyjbf
- %TEMP%\dc765b4e-c6a8-9ea4-6571-8e578fa1f56c
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\82949812\mvc.xl
- %TEMP%\82949812\imv.mp3
- %TEMP%\82949812\pnb.icm
- %TEMP%\82949812\kgu.docx
- %TEMP%\82949812\inw.ico
- %TEMP%\82949812\lce.vbs
- %TEMP%\82949812\omn.exe
- %TEMP%\82949812\pdn.docx
- %TEMP%\82949812\tqh.bmp
- %TEMP%\82949812\jff.jpg
- %TEMP%\82949812\gcp.mp3
- %TEMP%\82949812\xrj.bmp
- %TEMP%\82949812\ksk.mp3
- %TEMP%\82949812\vje.bmp
- %TEMP%\82949812\pir.ico
- %TEMP%\82949812\ggn.xl
- <LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\82949812\tfh.txt
- %TEMP%\82949812\dcg.txt
- %TEMP%\82949812\hac.icm
- %TEMP%\82949812\mqv.txt
- %TEMP%\82949812\cip.dat
- %TEMP%\82949812\eju.dat
- %TEMP%\82949812\vaq.mp4
- %TEMP%\82949812\sfr.mp3
- %TEMP%\82949812\tsu.pdf
- %TEMP%\82949812\ign.pdf
- %TEMP%\82949812\mus.docx
- %TEMP%\82949812\bhp.dat
- %TEMP%\82949812\ule.jpg
- %TEMP%\82949812\qed=tmr
- %TEMP%\82949812\qup.ico
- %TEMP%\tmpea23.tmp
Sets the 'hidden' attribute to the following files
- %TEMP%\82949812\omn.exe
- %TEMP%\82949812\pdn.docx
- %TEMP%\82949812\pir.ico
- %TEMP%\82949812\pnb.icm
- %TEMP%\82949812\pvl.pdf
- %TEMP%\82949812\qbc.ico
- %TEMP%\82949812\qed=tmr
- %TEMP%\82949812\qgp.bmp
- %TEMP%\82949812\qup.ico
- %TEMP%\82949812\rba.mp3
- %TEMP%\82949812\rdg.icm
- %TEMP%\82949812\ris.icm
- %TEMP%\82949812\vrl.mp4
- %TEMP%\82949812\sfr.mp3
- %TEMP%\82949812\tfh.txt
- %TEMP%\82949812\tqh.bmp
- %TEMP%\82949812\tsu.pdf
- %TEMP%\82949812\ule.jpg
- %TEMP%\82949812\ulv.icm
- %TEMP%\82949812\utn.bmp
- %TEMP%\82949812\uws.icm
- %TEMP%\82949812\vaq.mp4
- %TEMP%\82949812\vje.bmp
- %TEMP%\82949812\ooh.txt
- %TEMP%\82949812\rhx.ico
- %TEMP%\82949812\mvc.xl
- %TEMP%\82949812\hac.icm
- %TEMP%\82949812\bhp.dat
- %TEMP%\82949812\cip.dat
- %TEMP%\82949812\dcg.txt
- %TEMP%\82949812\dgu.ppt
- %TEMP%\82949812\edq.xl
- %TEMP%\82949812\eju.dat
- %TEMP%\82949812\emu.mp3
- %TEMP%\82949812\gcp.mp3
- %TEMP%\82949812\ggn.xl
- %TEMP%\82949812\gva.xl
- %TEMP%\82949812\ign.pdf
- %TEMP%\82949812\mqv.txt
- %TEMP%\82949812\imv.mp3
- %TEMP%\82949812\inw.ico
- %TEMP%\82949812\jff.jpg
- %TEMP%\82949812\kgu.docx
- %TEMP%\82949812\kmv.dat
- %TEMP%\82949812\krj.jpg
- %TEMP%\82949812\ksk.mp3
- %TEMP%\82949812\lbm.icm
- %TEMP%\82949812\lce.vbs
- %TEMP%\82949812\lnx.ppt
- %TEMP%\82949812\mus.docx
- %TEMP%\82949812\xrj.bmp
Deletes the following files
- %TEMP%\82949812\oyjbf
- %TEMP%\tmpea23.tmp
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
Creates and executes the following
- '<SYSTEM32>\wscript.exe' "%TEMP%\82949812\lce.vbs"
- '%TEMP%\82949812\omn.exe' qed=tmr
- '%TEMP%\82949812\omn.exe' %TEMP%\82949812\OYJBF
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEA23.tmp"' (with hidden window)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpD928.tmp"' (with hidden window)
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEA23.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpD928.tmp"
