Technical Information
To ensure autorun and distribution:
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'
Malicious functions:
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %HOMEPATH%\Desktop\<Virus name>.lnk
- %TEMP%\460Da2D\temp\<Virus name>.exe
- %TEMP%\460Da2D\images\progressbar.gif
- %TEMP%\460Da2D\images\loader.gif
Network activity:
Connects to:
- 'c2.##berty.link':80
- 'localhost':1041
- 'c1.###iginal.org':80
- 'localhost':1036
- 'r1.##sties.org':80
TCP:
HTTP GET requests:
- c2.##berty.link/?st#############################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################
- c1.###iginal.org/?st#############################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################
HTTP POST requests:
- r1.##sties.org/
UDP:
- DNS ASK c2.##berty.link
- DNS ASK c1.###iginal.org
- DNS ASK r1.##sties.org
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
