Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\66880718\vuv.exe %TEMP%\66880718\UMW_DJ~1'
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Reads files which store third party applications passwords
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Modifies file system
Creates the following files
- %TEMP%\66880718\hwb.bmp
- %TEMP%\66880718\tup.exe
- %TEMP%\66880718\qea.txt
- %TEMP%\66880718\uxx.msc
- %TEMP%\66880718\ola.msc
- %TEMP%\66880718\hse.cpl
- %TEMP%\66880718\pcw.xls
- %TEMP%\66880718\cfh.jpg
- %TEMP%\66880718\evx.xls
- %TEMP%\66880718\gsi.xl
- %TEMP%\66880718\qiv.exe
- %TEMP%\66880718\ilq.icm
- %TEMP%\66880718\udm.pdf
- %TEMP%\66880718\uhn.bin
- %TEMP%\66880718\ioh.xls
- %TEMP%\66880718\wsj.txt
- %TEMP%\66880718\jvm.dll
- %TEMP%\66880718\cul.icm
- %TEMP%\66880718\ipc.bmp
- %TEMP%\66880718\xoi.xml
- %TEMP%\66880718\sjj.dat
- %TEMP%\66880718\fed.bin
- %TEMP%\66880718\dbu.pdf
- %TEMP%\66880718\skd.dat
- %TEMP%\66880718\wau.cpl
- %TEMP%\66880718\jav.bin
- %TEMP%\66880718\fge.mp3
- %TEMP%\66880718\ppr.exe
- %TEMP%\66880718\clp.xls
- %TEMP%\66880718\qqx.dat
- %TEMP%\66880718\aed.exe
- %TEMP%\66880718\xga.ico
- %TEMP%\66880718\ocb.bin
- %TEMP%\66880718\qrr.xl
- %TEMP%\66880718\rvl.ppt
- %TEMP%\66880718\jod.icm
- %TEMP%\66880718\xhs.pdf
- %TEMP%\66880718\kli.msc
- %TEMP%\66880718\fds.cpl
- %TEMP%\66880718\kds.xls
- %TEMP%\66880718\gjj.msc
- %TEMP%\66880718\jkl.ppt
- %TEMP%\66880718\ksd.bin
- %TEMP%\66880718\xtr.ico
- %TEMP%\66880718\ctu.xl
- %TEMP%\66880718\vqo.mp3
- %TEMP%\66880718\tna.docx
- %TEMP%\66880718\eop.msc
- %TEMP%\66880718\jxb.jpg
- %TEMP%\66880718\fig.mp3
- %TEMP%\66880718\glt.ico
- %TEMP%\66880718\scj.bin
- %TEMP%\66880718\tjx.cpl
- %TEMP%\66880718\vuv.exe
- %TEMP%\66880718\evf.vbs
- %TEMP%\66880718\umw=djk
- %TEMP%\66880718\loc.mp3
- %TEMP%\66880718\bdf.jpg
- %TEMP%\66880718\erv.bin
- %TEMP%\66880718\spg.log
- %TEMP%\66880718\rkv.dat
- %TEMP%\66880718\qxj.ppt
- %TEMP%\66880718\ubx.dat
- %TEMP%\66880718\iat.txt
- %TEMP%\66880718\fvl.bmp
- %TEMP%\66880718\tkf.ppt
- %TEMP%\66880718\hkr.dll
- %TEMP%\66880718\xbg.bin
- %TEMP%\66880718\ljb.ppt
- %TEMP%\66880718\unx.exe
- %TEMP%\66880718\rfi.jpg
- %TEMP%\66880718\bwx.mp3
- %TEMP%\66880718\vkb.xl
- %TEMP%\66880718\njt.xml
- %TEMP%\66880718\usb.bin
- %TEMP%\66880718\hkp.docx
- %TEMP%\66880718\hhk.mp3
- %TEMP%\66880718\euc.pdf
- %TEMP%\66880718\fmf.jpg
- %HOMEPATH%\temp\hwb.bmp
Sets the 'hidden' attribute to the following files
- %TEMP%\66880718\vuv.exe
Network activity
TCP
HTTP GET requests
- http://ch####p.dyndns.org/
UDP
- DNS ASK ch####p.dyndns.org
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
Creates and executes the following
- '<SYSTEM32>\wscript.exe' "%TEMP%\66880718\evf.vbs"
- '%TEMP%\66880718\vuv.exe' umw=djk
Executes the following
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
