Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- %LOCALAPPDATA%\ybhaycla
- %LOCALAPPDATA%\viqahidiy\shlwapi.dll
- %LOCALAPPDATA%\viqahidiy\msvcrt.dll
- %LOCALAPPDATA%\viqahidiy\user32.dll
- %LOCALAPPDATA%\viqahidiy\gdi32.dll
- %LOCALAPPDATA%\viqahidiy\advapi32.dll
- %LOCALAPPDATA%\viqahidiy\iqmoqeqe.myr
- %LOCALAPPDATA%\yrhinuy\dnsapi.dll
- %LOCALAPPDATA%\yrhinuy\powrprof.dll
- %LOCALAPPDATA%\yrhinuy\user32.dll
- %LOCALAPPDATA%\yrhinuy\rpcrt4.dll
- %LOCALAPPDATA%\yrhinuy\msvcrt.dll
- %LOCALAPPDATA%\yrhinuy\tydyaqpo.ost
- %LOCALAPPDATA%\radabioqh\shlwapi.dll
- %LOCALAPPDATA%\radabioqh\msvcrt.dll
- %LOCALAPPDATA%\radabioqh\byloup.cay
- %LOCALAPPDATA%\kaliolylm\msvcrt.dll
- %LOCALAPPDATA%\kaliolylm\bayzz.roi
- %LOCALAPPDATA%\viqahidiy\ole32.dll
- %LOCALAPPDATA%\viqahidiy\comctl32.dll
Deletes the following files
- %LOCALAPPDATA%\kaliolylm\bayzz.roi
- %LOCALAPPDATA%\viqahidiy\runonce.exe
- %LOCALAPPDATA%\viqahidiy\ole32.dll
- %LOCALAPPDATA%\viqahidiy\msvcrt.dll
- %LOCALAPPDATA%\viqahidiy\iqmoqeqe.myr
- %LOCALAPPDATA%\viqahidiy\gdi32.dll
- %LOCALAPPDATA%\viqahidiy\comctl32.dll
- %LOCALAPPDATA%\viqahidiy\advapi32.dll
- %LOCALAPPDATA%\yrhinuy\user32.dll
- %LOCALAPPDATA%\yrhinuy\tydyaqpo.ost
- %LOCALAPPDATA%\viqahidiy\shlwapi.dll
- %LOCALAPPDATA%\yrhinuy\spoolsv.exe
- %LOCALAPPDATA%\yrhinuy\powrprof.dll
- %LOCALAPPDATA%\yrhinuy\msvcrt.dll
- %LOCALAPPDATA%\yrhinuy\dnsapi.dll
- %LOCALAPPDATA%\radabioqh\shlwapi.dll
- %LOCALAPPDATA%\radabioqh\regedt32.exe
- %LOCALAPPDATA%\radabioqh\msvcrt.dll
- %LOCALAPPDATA%\radabioqh\byloup.cay
- %LOCALAPPDATA%\kaliolylm\msvcrt.dll
- %LOCALAPPDATA%\kaliolylm\ctfmon.exe
- %LOCALAPPDATA%\yrhinuy\rpcrt4.dll
- %LOCALAPPDATA%\viqahidiy\user32.dll
Network activity
UDP
- DNS ASK sy###time.info
Miscellaneous
Creates and executes the following
- '%LOCALAPPDATA%\kaliolylm\ctfmon.exe'
- '%LOCALAPPDATA%\radabioqh\regedt32.exe'
- '%LOCALAPPDATA%\yrhinuy\spoolsv.exe'
- '%LOCALAPPDATA%\viqahidiy\runonce.exe'
Executes the following
- '<SYSTEM32>\svchost.exe'
