Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Notification Interface RPC Player Policy' = '%APPDATA%\njfydzvdwro\tsjautlef.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\njfydzvdwro\jaqmalgkv.exe' "%APPDATA%\njfydzvdwro\tsjautlef.exe"
- '%APPDATA%\njfydzvdwro\tsjautlef.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\njfydzvdwro\tsjautlef.jdbcz
- %APPDATA%\njfydzvdwro\jaqmalgkv.exe
- %APPDATA%\njfydzvdwro\tsjautlef.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\njfydzvdwro\tsjautlef.exe
Network activity:
Connects to:
- 'ci#####tegoodbye.net':80
- 'pi####egoodbye.net':80
- 'ci#####tefortieth.net':80
- 'pi####efortieth.net':80
- 'ci#####teadvance.net':80
- 'pi####eadvance.net':80
- 'ci#####testranger.net':80
- 'pi####estranger.net':80
- 'ch####enadvance.net':80
- 'ch#####nfortieth.net':80
- 'fa####goodbye.net':80
- 'ei####advance.net':80
- 'fa####fortieth.net':80
- 'ch#####nstranger.net':80
- 'fa####advance.net':80
- 'ch####engoodbye.net':80
- 'fa####stranger.net':80
- 'wh####rgoodbye.net':80
- 'ri####tranger.net':80
- 'wh####rfortieth.net':80
- 'ri####oodbye.net':80
- 'wh####radvance.net':80
- 'fo####nfortieth.net':80
- 'wh####rstranger.net':80
- 'ri####dvance.net':80
- 'ri####ortieth.net':80
- 'th####goodbye.net':80
- 'fi####goodbye.net':80
- 'th####fortieth.net':80
- 'fi####fortieth.net':80
- 'th####advance.net':80
- 'fi####advance.net':80
- 'th####stranger.net':80
- 'fi####stranger.net':80
TCP:
HTTP GET requests:
- ci#####tegoodbye.net/index.php?em######################################################
- pi####egoodbye.net/index.php?em######################################################
- ci#####tefortieth.net/index.php?em######################################################
- pi####efortieth.net/index.php?em######################################################
- ci#####teadvance.net/index.php?em######################################################
- pi####eadvance.net/index.php?em######################################################
- ci#####testranger.net/index.php?em######################################################
- pi####estranger.net/index.php?em######################################################
- ch####enadvance.net/index.php?em######################################################
- ch#####nfortieth.net/index.php?em######################################################
- fa####goodbye.net/index.php?em######################################################
- ei####advance.net/index.php?em######################################################
- fa####fortieth.net/index.php?em######################################################
- ch#####nstranger.net/index.php?em######################################################
- fa####advance.net/index.php?em######################################################
- ch####engoodbye.net/index.php?em######################################################
- fa####stranger.net/index.php?em######################################################
- wh####rgoodbye.net/index.php?em######################################################
- ri####tranger.net/index.php?em######################################################
- wh####rfortieth.net/index.php?em######################################################
- ri####oodbye.net/index.php?em######################################################
- wh####radvance.net/index.php?em######################################################
- fo####nfortieth.net/index.php?em######################################################
- wh####rstranger.net/index.php?em######################################################
- ri####dvance.net/index.php?em######################################################
- ri####ortieth.net/index.php?em######################################################
- th####goodbye.net/index.php?em######################################################
- fi####goodbye.net/index.php?em######################################################
- th####fortieth.net/index.php?em######################################################
- fi####fortieth.net/index.php?em######################################################
- th####advance.net/index.php?em######################################################
- fi####advance.net/index.php?em######################################################
- th####stranger.net/index.php?em######################################################
- fi####stranger.net/index.php?em######################################################
UDP:
- DNS ASK pi####efortieth.net
- DNS ASK ci#####tegoodbye.net
- DNS ASK ch####enadvance.net
- DNS ASK ci#####tefortieth.net
- DNS ASK pi####estranger.net
- DNS ASK ci#####teadvance.net
- DNS ASK pi####egoodbye.net
- DNS ASK ci#####testranger.net
- DNS ASK fa####advance.net
- DNS ASK fa####fortieth.net
- DNS ASK ch#####nfortieth.net
- DNS ASK en####hadvance.net
- DNS ASK ei####advance.net
- DNS ASK fa####stranger.net
- DNS ASK ch#####nstranger.net
- DNS ASK fa####goodbye.net
- DNS ASK ch####engoodbye.net
- DNS ASK pi####eadvance.net
- DNS ASK wh####rgoodbye.net
- DNS ASK ri####tranger.net
- DNS ASK wh####rfortieth.net
- DNS ASK ri####oodbye.net
- DNS ASK wh####radvance.net
- DNS ASK fo####nfortieth.net
- DNS ASK wh####rstranger.net
- DNS ASK ri####dvance.net
- DNS ASK ri####ortieth.net
- DNS ASK th####goodbye.net
- DNS ASK fi####goodbye.net
- DNS ASK th####fortieth.net
- DNS ASK fi####fortieth.net
- DNS ASK th####advance.net
- DNS ASK fi####advance.net
- DNS ASK th####stranger.net
- DNS ASK fi####stranger.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
