Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Counter Process Adaptive Connectivity' = '%APPDATA%\kwvyayoku\hzidjriojelc.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\kwvyayoku\cf5hshwbam.exe' "%APPDATA%\kwvyayoku\hzidjriojelc.exe"
- '%APPDATA%\kwvyayoku\hzidjriojelc.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\kwvyayoku\hzidjriojelc.t2or
- %APPDATA%\kwvyayoku\cf5hshwbam.exe
- %APPDATA%\kwvyayoku\hzidjriojelc.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\kwvyayoku\hzidjriojelc.exe
Deletes the following files:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Network activity:
Connects to:
- 'th###dinner.net':80
- 'cl####easure.net':80
- 'th####easure.net':80
- 'cl###afraid.net':80
- 'th###afraid.net':80
- 'cl###dinner.net':80
- 'am####afraid.net':80
- 'we####rdinner.net':80
- 'am####dinner.net':80
- 'we####rcircle.net':80
- 'am####circle.net':80
- 'we####rafraid.net':80
- 'th###forest.net':80
- 'pr####talways.net':80
- 'th###always.net':80
- 'co####ewheat.net':80
- 'ch###wheat.net':80
- 'pr####tforest.net':80
- 'th###wheat.net':80
- 'cl###circle.net':80
- 'th###circle.net':80
- 'pr####tanger.net':80
- 'th###anger.net':80
- 'pr####twheat.net':80
- 'ra####dinner.net':80
- 'mo####gmeasure.net':80
- 'ra####measure.net':80
- 'mo####gafraid.net':80
- 'ra####afraid.net':80
- 'mo####gdinner.net':80
- 'mi####afraid.net':80
- 'tw####dinner.net':80
- 'mi####dinner.net':80
- 'tw####circle.net':80
- 'mi####circle.net':80
- 'tw####afraid.net':80
- 'st####ecircle.net':80
- 'hi####yafraid.net':80
- 'st####eafraid.net':80
- 'we####rmeasure.net':80
- 'am####measure.net':80
- 'hi####ycircle.net':80
- 'st####emeasure.net':80
- 'mo####gcircle.net':80
- 'ra####circle.net':80
- 'hi####ydinner.net':80
- 'st####edinner.net':80
- 'hi####ymeasure.net':80
TCP:
HTTP GET requests:
- th###dinner.net/index.php?em###############################################################
- cl####easure.net/index.php?em###############################################################
- th####easure.net/index.php?em###############################################################
- cl###afraid.net/index.php?em###############################################################
- th###afraid.net/index.php?em###############################################################
- cl###dinner.net/index.php?em###############################################################
- am####afraid.net/index.php?em###############################################################
- we####rdinner.net/index.php?em###############################################################
- am####dinner.net/index.php?em###############################################################
- we####rcircle.net/index.php?em###############################################################
- am####circle.net/index.php?em###############################################################
- we####rafraid.net/index.php?em###############################################################
- th###forest.net/index.php?em###############################################################
- pr####talways.net/index.php?em###############################################################
- th###always.net/index.php?em###############################################################
- co####ewheat.net/index.php?em###############################################################
- ch###wheat.net/index.php?em###############################################################
- pr####tforest.net/index.php?em###############################################################
- th###wheat.net/index.php?em###############################################################
- cl###circle.net/index.php?em###############################################################
- th###circle.net/index.php?em###############################################################
- pr####tanger.net/index.php?em###############################################################
- th###anger.net/index.php?em###############################################################
- pr####twheat.net/index.php?em###############################################################
- ra####dinner.net/index.php?em###############################################################
- mo####gmeasure.net/index.php?em###############################################################
- ra####measure.net/index.php?em###############################################################
- mo####gafraid.net/index.php?em###############################################################
- ra####afraid.net/index.php?em###############################################################
- mo####gdinner.net/index.php?em###############################################################
- mi####afraid.net/index.php?em###############################################################
- tw####dinner.net/index.php?em###############################################################
- mi####dinner.net/index.php?em###############################################################
- tw####circle.net/index.php?em###############################################################
- mi####circle.net/index.php?em###############################################################
- tw####afraid.net/index.php?em###############################################################
- st####ecircle.net/index.php?em###############################################################
- hi####yafraid.net/index.php?em###############################################################
- st####eafraid.net/index.php?em###############################################################
- we####rmeasure.net/index.php?em###############################################################
- am####measure.net/index.php?em###############################################################
- hi####ycircle.net/index.php?em###############################################################
- st####emeasure.net/index.php?em###############################################################
- mo####gcircle.net/index.php?em###############################################################
- ra####circle.net/index.php?em###############################################################
- hi####ydinner.net/index.php?em###############################################################
- st####edinner.net/index.php?em###############################################################
- hi####ymeasure.net/index.php?em###############################################################
UDP:
- DNS ASK th###dinner.net
- DNS ASK cl####easure.net
- DNS ASK th####easure.net
- DNS ASK cl###afraid.net
- DNS ASK th###afraid.net
- DNS ASK cl###dinner.net
- DNS ASK am####afraid.net
- DNS ASK we####rdinner.net
- DNS ASK am####dinner.net
- DNS ASK we####rcircle.net
- DNS ASK am####circle.net
- DNS ASK we####rafraid.net
- DNS ASK th###forest.net
- DNS ASK pr####talways.net
- DNS ASK th###always.net
- DNS ASK co####ewheat.net
- DNS ASK ch###wheat.net
- DNS ASK pr####tforest.net
- DNS ASK th###wheat.net
- DNS ASK cl###circle.net
- DNS ASK th###circle.net
- DNS ASK pr####tanger.net
- DNS ASK th###anger.net
- DNS ASK pr####twheat.net
- DNS ASK ra####dinner.net
- DNS ASK mo####gmeasure.net
- DNS ASK ra####measure.net
- DNS ASK mo####gafraid.net
- DNS ASK ra####afraid.net
- DNS ASK mo####gdinner.net
- DNS ASK mi####afraid.net
- DNS ASK tw####dinner.net
- DNS ASK mi####dinner.net
- DNS ASK tw####circle.net
- DNS ASK mi####circle.net
- DNS ASK tw####afraid.net
- DNS ASK st####ecircle.net
- DNS ASK hi####yafraid.net
- DNS ASK st####eafraid.net
- DNS ASK we####rmeasure.net
- DNS ASK am####measure.net
- DNS ASK hi####ycircle.net
- DNS ASK st####emeasure.net
- DNS ASK mo####gcircle.net
- DNS ASK ra####circle.net
- DNS ASK hi####ydinner.net
- DNS ASK st####edinner.net
- DNS ASK hi####ymeasure.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
