Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Protection Office System Class' = '%APPDATA%\cfpwoxeibbjbs\dxbaqbdlecn.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\cfpwoxeibbjbs\oyyywjyfcd.exe' "%APPDATA%\cfpwoxeibbjbs\dxbaqbdlecn.exe"
- '%APPDATA%\cfpwoxeibbjbs\dxbaqbdlecn.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\cfpwoxeibbjbs\dxbaqbdlecn.mq
- %APPDATA%\cfpwoxeibbjbs\oyyywjyfcd.exe
- %APPDATA%\cfpwoxeibbjbs\dxbaqbdlecn.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\cfpwoxeibbjbs\oyyywjyfcd.exe
- %APPDATA%\cfpwoxeibbjbs\dxbaqbdlecn.exe
Network activity:
Connects to:
- 'wh####rdried.net':80
- 'ri###dried.net':80
- 'fo####narticle.net':80
- 'fo####nangry.net':80
- 'su####article.net':80
- 'ri###angry.net':80
- 'wh####rarticle.net':80
- 'wh####rangry.net':80
- 'wh####rfifteen.net':80
- 'ri####ifteen.net':80
- 'su###nangry.net':80
- 'ma####eangry.net':80
- 'pe####article.net':80
- 'pe###nangry.net':80
- 'pe####fifteen.net':80
- 'ma####efifteen.net':80
- 'su####fifteen.net':80
- 'fo####nfifteen.net':80
- 'fo####ndried.net':80
- 'ma####earticle.net':80
- 'su###ndried.net':80
- 'ci####tteangry.net':80
- 'pi####earticle.net':80
- 'pi####eangry.net':80
- 'pi####efifteen.net':80
- 'ci#####tefifteen.net':80
- 'ch####enfifteen.net':80
- 'fa####fifteen.net':80
- 'fa###ydried.net':80
- 'ci#####tearticle.net':80
- 'ch####endried.net':80
- 'ci####ttedried.net':80
- 'fi####fifteen.net':80
- 'th####fifteen.net':80
- 'th###hdried.net':80
- 'ri####rticle.net':80
- 'fi###edried.net':80
- 'th####article.net':80
- 'pi####edried.net':80
- 'fi####article.net':80
- 'fi###eangry.net':80
- 'th###hangry.net':80
- 'ma####edried.net':80
- 'ci####ttebehind.net':80
- 'pi####ebutter.net':80
- 'pi####ebehind.net':80
- 'pi####ebroad.net':80
- 'ci####ttebroad.net':80
- 'ch####enbroad.net':80
- 'fa###ybroad.net':80
- 'fa#####nderstand.net':80
- 'ci####ttebutter.net':80
- 'ch#####nunderstand.net':80
- 'ci#####teunderstand.net':80
- 'fi###ebroad.net':80
- 'th###hbroad.net':80
- 'th#####nderstand.net':80
- 'ri###butter.net':80
- 'fi#####nderstand.net':80
- 'th####butter.net':80
- 'pi#####understand.net':80
- 'fi####butter.net':80
- 'fi####behind.net':80
- 'th####behind.net':80
- 'ex####fifteen.net':80
- 'be####efifteen.net':80
- 'be####edried.net':80
- 'en####hbutter.net':80
- 'ex###tdried.net':80
- 'be####earticle.net':80
- 'pe###ndried.net':80
- 'ex####article.net':80
- 'ex###tangry.net':80
- 'be####eangry.net':80
- 'ei####butter.net':80
- 'fa####butter.net':80
- 'ei#####nderstand.net':80
- 'ch####enbutter.net':80
- 'ch####enbehind.net':80
- 'fa####behind.net':80
- 'ei####behind.net':80
- 'en####hbehind.net':80
- 'en####hbroad.net':80
- 'en#####understand.net':80
- 'ei###rbroad.net':80
TCP:
HTTP GET requests:
- wh####rdried.net/index.php?em#######################################
- ri###dried.net/index.php?em#######################################
- fo####narticle.net/index.php?em#######################################
- fo####nangry.net/index.php?em#######################################
- su####article.net/index.php?em#######################################
- ri###angry.net/index.php?em#######################################
- wh####rarticle.net/index.php?em#######################################
- wh####rangry.net/index.php?em#######################################
- wh####rfifteen.net/index.php?em#######################################
- ri####ifteen.net/index.php?em#######################################
- su###nangry.net/index.php?em#######################################
- ma####eangry.net/index.php?em#######################################
- pe####article.net/index.php?em#######################################
- pe###nangry.net/index.php?em#######################################
- pe####fifteen.net/index.php?em#######################################
- ma####efifteen.net/index.php?em#######################################
- su####fifteen.net/index.php?em#######################################
- fo####nfifteen.net/index.php?em#######################################
- fo####ndried.net/index.php?em#######################################
- ma####earticle.net/index.php?em#######################################
- su###ndried.net/index.php?em#######################################
- ci####tteangry.net/index.php?em#######################################
- pi####earticle.net/index.php?em#######################################
- pi####eangry.net/index.php?em#######################################
- pi####efifteen.net/index.php?em#######################################
- ci#####tefifteen.net/index.php?em#######################################
- ch####enfifteen.net/index.php?em#######################################
- fa####fifteen.net/index.php?em#######################################
- fa###ydried.net/index.php?em#######################################
- ci#####tearticle.net/index.php?em#######################################
- ch####endried.net/index.php?em#######################################
- ci####ttedried.net/index.php?em#######################################
- fi####fifteen.net/index.php?em#######################################
- th####fifteen.net/index.php?em#######################################
- th###hdried.net/index.php?em#######################################
- ri####rticle.net/index.php?em#######################################
- fi###edried.net/index.php?em#######################################
- th####article.net/index.php?em#######################################
- pi####edried.net/index.php?em#######################################
- fi####article.net/index.php?em#######################################
- fi###eangry.net/index.php?em#######################################
- th###hangry.net/index.php?em#######################################
- ma####edried.net/index.php?em#######################################
- ci####ttebehind.net/index.php?em#######################################
- pi####ebutter.net/index.php?em#######################################
- pi####ebehind.net/index.php?em#######################################
- pi####ebroad.net/index.php?em#######################################
- ci####ttebroad.net/index.php?em#######################################
- ch####enbroad.net/index.php?em#######################################
- fa###ybroad.net/index.php?em#######################################
- fa#####nderstand.net/index.php?em#######################################
- ci####ttebutter.net/index.php?em#######################################
- ch#####nunderstand.net/index.php?em#######################################
- ci#####teunderstand.net/index.php?em#######################################
- fi###ebroad.net/index.php?em#######################################
- th###hbroad.net/index.php?em#######################################
- th#####nderstand.net/index.php?em#######################################
- ri###butter.net/index.php?em#######################################
- fi#####nderstand.net/index.php?em#######################################
- th####butter.net/index.php?em#######################################
- pi#####understand.net/index.php?em#######################################
- fi####butter.net/index.php?em#######################################
- fi####behind.net/index.php?em#######################################
- th####behind.net/index.php?em#######################################
- ex####fifteen.net/index.php?em#######################################
- be####efifteen.net/index.php?em#######################################
- be####edried.net/index.php?em#######################################
- en####hbutter.net/index.php?em#######################################
- ex###tdried.net/index.php?em#######################################
- be####earticle.net/index.php?em#######################################
- pe###ndried.net/index.php?em#######################################
- ex####article.net/index.php?em#######################################
- ex###tangry.net/index.php?em#######################################
- be####eangry.net/index.php?em#######################################
- ei####butter.net/index.php?em#######################################
- fa####butter.net/index.php?em#######################################
- ei#####nderstand.net/index.php?em#######################################
- ch####enbutter.net/index.php?em#######################################
- ch####enbehind.net/index.php?em#######################################
- fa####behind.net/index.php?em#######################################
- ei####behind.net/index.php?em#######################################
- en####hbehind.net/index.php?em#######################################
- en####hbroad.net/index.php?em#######################################
- en#####understand.net/index.php?em#######################################
- ei###rbroad.net/index.php?em#######################################
UDP:
- DNS ASK wh####rdried.net
- DNS ASK ri###dried.net
- DNS ASK fo####narticle.net
- DNS ASK fo####nangry.net
- DNS ASK su####article.net
- DNS ASK ri###angry.net
- DNS ASK wh####rarticle.net
- DNS ASK wh####rangry.net
- DNS ASK wh####rfifteen.net
- DNS ASK ri####ifteen.net
- DNS ASK su###nangry.net
- DNS ASK ma####eangry.net
- DNS ASK pe####article.net
- DNS ASK pe###nangry.net
- DNS ASK pe####fifteen.net
- DNS ASK ma####efifteen.net
- DNS ASK su####fifteen.net
- DNS ASK fo####nfifteen.net
- DNS ASK fo####ndried.net
- DNS ASK ma####earticle.net
- DNS ASK su###ndried.net
- DNS ASK ci####tteangry.net
- DNS ASK pi####earticle.net
- DNS ASK pi####eangry.net
- DNS ASK pi####efifteen.net
- DNS ASK ci#####tefifteen.net
- DNS ASK ch####enfifteen.net
- DNS ASK fa####fifteen.net
- DNS ASK fa###ydried.net
- DNS ASK ci#####tearticle.net
- DNS ASK ch####endried.net
- DNS ASK ci####ttedried.net
- DNS ASK fi####fifteen.net
- DNS ASK th####fifteen.net
- DNS ASK th###hdried.net
- DNS ASK ri####rticle.net
- DNS ASK fi###edried.net
- DNS ASK th####article.net
- DNS ASK pi####edried.net
- DNS ASK fi####article.net
- DNS ASK fi###eangry.net
- DNS ASK th###hangry.net
- DNS ASK ma####edried.net
- DNS ASK ci####ttebehind.net
- DNS ASK pi####ebutter.net
- DNS ASK pi####ebehind.net
- DNS ASK pi####ebroad.net
- DNS ASK ci####ttebroad.net
- DNS ASK ch####enbroad.net
- DNS ASK fa###ybroad.net
- DNS ASK fa#####nderstand.net
- DNS ASK ci####ttebutter.net
- DNS ASK ch#####nunderstand.net
- DNS ASK ci#####teunderstand.net
- DNS ASK fi###ebroad.net
- DNS ASK th###hbroad.net
- DNS ASK th#####nderstand.net
- DNS ASK ri###butter.net
- DNS ASK fi#####nderstand.net
- DNS ASK th####butter.net
- DNS ASK pi#####understand.net
- DNS ASK fi####butter.net
- DNS ASK fi####behind.net
- DNS ASK th####behind.net
- DNS ASK ex####fifteen.net
- DNS ASK be####efifteen.net
- DNS ASK be####edried.net
- DNS ASK en####hbutter.net
- DNS ASK ex###tdried.net
- DNS ASK be####earticle.net
- DNS ASK pe###ndried.net
- DNS ASK ex####article.net
- DNS ASK ex###tangry.net
- DNS ASK be####eangry.net
- DNS ASK ei####butter.net
- DNS ASK fa####butter.net
- DNS ASK ei#####nderstand.net
- DNS ASK ch####enbutter.net
- DNS ASK ch####enbehind.net
- DNS ASK fa####behind.net
- DNS ASK ei####behind.net
- DNS ASK en####hbehind.net
- DNS ASK en####hbroad.net
- DNS ASK en#####understand.net
- DNS ASK ei###rbroad.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
