Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Installer Endpoint Driver Provider Audio' = '%APPDATA%\ubqmtrqq\maggfnbyv.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\ubqmtrqq\oxnfuzxmkhe.exe' "%APPDATA%\ubqmtrqq\maggfnbyv.exe"
- '%APPDATA%\ubqmtrqq\maggfnbyv.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\ubqmtrqq\maggfnbyv.kff9
- %APPDATA%\ubqmtrqq\oxnfuzxmkhe.exe
- %APPDATA%\ubqmtrqq\maggfnbyv.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\ubqmtrqq\maggfnbyv.exe
Network activity:
Connects to:
- 'pe####sfifteen.net':80
- 'wi###wdried.net':80
- 'wi####fifteen.net':80
- 'wi###wangry.net':80
- 'pe####sangry.net':80
- 'pe####sdried.net':80
- 'mo####inangry.net':80
- 'po####lefifteen.net':80
- 'po####leangry.net':80
- 'po####learticle.net':80
- 'mo####inarticle.net':80
- 'su####tarticle.net':80
- 'su####tangry.net':80
- 'fi###hdried.net':80
- 'fi####fifteen.net':80
- 'le###dried.net':80
- 'wi###rangry.net':80
- 'wi####article.net':80
- 'pe####sarticle.net':80
- 'wi###rdried.net':80
- 'su####tfifteen.net':80
- 'su####tdried.net':80
- 'mo####infifteen.net':80
- 'la####ifteen.net':80
- 'se####fifteen.net':80
- 'se###aangry.net':80
- 'se####article.net':80
- 'la###angry.net':80
- 'la###dried.net':80
- 'ma####albehind.net':80
- 'se####lbehind.net':80
- 'se####lbutter.net':80
- 'se###adried.net':80
- 'ma####albutter.net':80
- 'si####article.net':80
- 'mo###rangry.net':80
- 'mo####article.net':80
- 'po####ledried.net':80
- 'mo####indried.net':80
- 'si###eangry.net':80
- 'si###edried.net':80
- 'la####rticle.net':80
- 'mo###rdried.net':80
- 'mo####fifteen.net':80
- 'si####fifteen.net':80
TCP:
HTTP GET requests:
- http://pe####sfifteen.net/index.php?em###########################################
- http://wi###wdried.net/index.php?em###########################################
- http://wi####fifteen.net/index.php?em###########################################
- http://wi###wangry.net/index.php?em###########################################
- http://pe####sangry.net/index.php?em###########################################
- http://pe####sdried.net/index.php?em###########################################
- http://mo####inangry.net/index.php?em###########################################
- http://po####lefifteen.net/index.php?em###########################################
- http://po####leangry.net/index.php?em###########################################
- http://po####learticle.net/index.php?em###########################################
- http://mo####inarticle.net/index.php?em###########################################
- http://su####tarticle.net/index.php?em###########################################
- http://su####tangry.net/index.php?em###########################################
- http://fi###hdried.net/index.php?em###########################################
- http://fi####fifteen.net/index.php?em###########################################
- http://le###dried.net/index.php?em###########################################
- http://wi###rangry.net/index.php?em###########################################
- http://wi####article.net/index.php?em###########################################
- http://pe####sarticle.net/index.php?em###########################################
- http://wi###rdried.net/index.php?em###########################################
- http://su####tfifteen.net/index.php?em###########################################
- http://su####tdried.net/index.php?em###########################################
- http://mo####infifteen.net/index.php?em###########################################
- http://la####ifteen.net/index.php?em###########################################
- http://se####fifteen.net/index.php?em###########################################
- http://se###aangry.net/index.php?em###########################################
- http://se####article.net/index.php?em###########################################
- http://la###angry.net/index.php?em###########################################
- http://la###dried.net/index.php?em###########################################
- http://ma####albehind.net/index.php?em###########################################
- http://se####lbehind.net/index.php?em###########################################
- http://se####lbutter.net/index.php?em###########################################
- http://se###adried.net/index.php?em###########################################
- http://ma####albutter.net/index.php?em###########################################
- http://si####article.net/index.php?em###########################################
- http://mo###rangry.net/index.php?em###########################################
- http://mo####article.net/index.php?em###########################################
- http://po####ledried.net/index.php?em###########################################
- http://mo####indried.net/index.php?em###########################################
- http://si###eangry.net/index.php?em###########################################
- http://si###edried.net/index.php?em###########################################
- http://la####rticle.net/index.php?em###########################################
- http://mo###rdried.net/index.php?em###########################################
- http://mo####fifteen.net/index.php?em###########################################
- http://si####fifteen.net/index.php?em###########################################
UDP:
- DNS ASK pe####sfifteen.net
- DNS ASK wi###wdried.net
- DNS ASK wi####fifteen.net
- DNS ASK wi###wangry.net
- DNS ASK pe####sangry.net
- DNS ASK pe####sdried.net
- DNS ASK mo####inangry.net
- DNS ASK po####lefifteen.net
- DNS ASK po####leangry.net
- DNS ASK po####learticle.net
- DNS ASK mo####inarticle.net
- DNS ASK pe####sarticle.net
- DNS ASK fi###hdried.net
- DNS ASK su####tarticle.net
- DNS ASK le###dried.net
- DNS ASK le####ifteen.net
- DNS ASK fi####fifteen.net
- DNS ASK su####tangry.net
- DNS ASK wi###rdried.net
- DNS ASK wi####article.net
- DNS ASK su####tdried.net
- DNS ASK wi###rangry.net
- DNS ASK su####tfifteen.net
- DNS ASK la####ifteen.net
- DNS ASK se####fifteen.net
- DNS ASK se###aangry.net
- DNS ASK se####article.net
- DNS ASK la###angry.net
- DNS ASK la###dried.net
- DNS ASK ma####albehind.net
- DNS ASK se####lbehind.net
- DNS ASK se####lbutter.net
- DNS ASK se###adried.net
- DNS ASK ma####albutter.net
- DNS ASK la####rticle.net
- DNS ASK mo####article.net
- DNS ASK si####article.net
- DNS ASK mo####indried.net
- DNS ASK mo####infifteen.net
- DNS ASK po####ledried.net
- DNS ASK mo###rangry.net
- DNS ASK mo###rdried.net
- DNS ASK si###edried.net
- DNS ASK si####fifteen.net
- DNS ASK si###eangry.net
- DNS ASK mo####fifteen.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
