Technical Information
To ensure autorun and distribution:
Creates or modifies the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\ejjb6bMT2f0.exe
Malicious functions:
Executes the following:
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Injects code into
the following system processes:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
the following user processes:
- cbmain.ex
Modifies file system :
Creates the following files:
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\fsav32\fsav32.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\fsavaui\fsavaui.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\firefox\firefox.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\fsav\fsav.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\fsavgui\fsavgui.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\googletalk\googletalk.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\GUARD\GUARD.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\gc\gc.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ge\ge.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\el_cli\el_cli.ex
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\Drwebupw\Drwebupw.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\Drwebwcl\Drwebwcl.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\Drweb32w\Drweb32w.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\drweb386\drweb386.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ecmd\ecmd.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\elbank\elbank.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\elementclient\elementclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\egni\egni.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ekrn\ekrn.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\GVOnline\GVOnline.bin
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\kb_cli\kb_cli.ex
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\l2\l2.bin
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\javaw\javaw.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\kb_cli\kb_cli.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\lin\lin.bin
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\magent\magent.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\maplestory\maplestory.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\loadmain\loadmain.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\lotroclient\lotroclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\java\java.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ICQ\ICQ.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\iexplore\iexplore.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\gw\gw.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\httplook\httplook.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\inbank-start-ff\inbank-start-ff.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\iscc\iscc.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ISClient\ISClient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\InphaseNXD\InphaseNXD.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\intpro\intpro.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVPCC\AVPCC.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVPM\AVPM.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVP\AVP.COM
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVP32\AVP32.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVSYNMGR\AVSYNMGR.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bclient\bclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bc_loader\bc_loader.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bankcl\bankcl.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\BBClient\BBClient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVP\AVP.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\aion\aion.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ash\ash.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\360tray\360tray.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ageofconan\ageofconan.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ashAvast\ashAvast.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVGCC32\AVGCC32.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\AVGCTRL\AVGCTRL.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ashAvSrv\ashAvSrv.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\avgcc\avgcc.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bdagent\bdagent.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\client7\client7.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\clmain\clmain.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ClamWin\ClamWin.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\clbank\clbank.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\clntw32\clntw32.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\dnf\dnf.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\drweb\drweb.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\contactNG\contactNG.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\dekaron\dekaron.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\chrome\chrome.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bk\bk.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\cabalmain\cabalmain.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bdss\bdss.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\bdsubmit\bdsubmit.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\cbank\cbank.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\cbsmain\cbsmain.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ccapp\ccapp.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\cbmain\cbmain.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\cbmain\cbmain.ex
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\MCAGENT\MCAGENT.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_browsers.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_banks.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_games.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_fake.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_av.txt
- %TEMP%\14.tmp
- %TEMP%\13.tmp
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\list_short.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\list_full.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_im.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\zlclient\zlclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ZONEALARM\ZONEALARM.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ybclient\ybclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\zapro\zapro.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ZZ__cd75efb816b2cc__\ZZ__cd75efb816b2cc__.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\runall.bat
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\proc_tools.txt
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\__cd75efb816b2cc__\__cd75efb816b2cc__.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\test.exe
- %TEMP%\11.tmp
- %TEMP%\7.tmp
- %TEMP%\6.tmp
- %TEMP%\9.tmp
- %TEMP%\8.tmp
- %TEMP%\5.tmp
- %TEMP%\2.tmp
- %TEMP%\1.tmp
- %TEMP%\4.tmp
- %TEMP%\3.tmp
- %APPDATA%\4EUDycE7Fz0\mnhslst32.dat
- %TEMP%\F.tmp
- %TEMP%\E.tmp
- %TEMP%\12.tmp
- %TEMP%\10.tmp
- %TEMP%\D.tmp
- %TEMP%\A.tmp
- %APPDATA%\4EUDycE7Fz0\jbE9cSHrBig.dat
- %TEMP%\C.tmp
- %TEMP%\B.tmp
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\outpost\outpost.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\pidgin\pidgin.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\oncbcli\oncbcli.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\opera\opera.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\putty\putty.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\RagFree\RagFree.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\rclient\rclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\qip\qip.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\Ragexe\Ragexe.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\ntvdm\ntvdm.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\mpftray\mpftray.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\msn6\msn6.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\Mir3Game\Mir3Game.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\miranda32\miranda32.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\msnmsgr\msnmsgr.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\nod\nod.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\nod32\nod32.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\NAVAPW32\NAVAPW32.EXE
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\netxray\netxray.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\safari\safari.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\wclnt\wclnt.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\webmoney\webmoney.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\TwelveSky2\TwelveSky2.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\UniStream\UniStream.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\winbaram\winbaram.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\wsm\wsm.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\YahooMessenger\YahooMessenger.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\woool\woool.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\wow\wow.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\trillian\trillian.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\smc\smc.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\so3d\so3d.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\sgbclient\sgbclient.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\skype\skype.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\spidernt\spidernt.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\tiny\tiny.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\translink\translink.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\sro_client\sro_client.exe
- %TEMP%\RROiQzonRXnXDa5zSb8jzw\startclient7\startclient7.exe
Sets the 'hidden' attribute to the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\ejjb6bMT2f0.exe
Deletes itself.
Network activity:
Connects to:
- '17#.#62.179.65':80
- '17#.#62.179.65':700
- 'ru#.zika.in':80
UDP:
- DNS ASK az.#ika.in
- DNS ASK ru#.zika.in
Miscellaneous:
Searches for the following windows:
- ClassName: 'OperaWindowClass' WindowName: '(null)'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '(null)'
- ClassName: 'MozillaWindowClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
