Trojan.DownLoader13.12918

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Detection Group Microsoft Distributed' = '%APPDATA%\bmecyryadg\rknozhsp.exe'

Malicious functions:

Creates and executes the following:

'%APPDATA%\bmecyryadg\fpjmqirgsbd.exe' "%APPDATA%\bmecyryadg\rknozhsp.exe"
'%APPDATA%\bmecyryadg\rknozhsp.exe'

Modifies file system :

Creates the following files:

%APPDATA%\bmecyryadg\rknozhsp.gco
%APPDATA%\bmecyryadg\fpjmqirgsbd.exe
%APPDATA%\bmecyryadg\rknozhsp.exe

Sets the 'hidden' attribute to the following files:

%APPDATA%\bmecyryadg\rknozhsp.exe

Network activity:

Connects to:

're####ehunger.net':80
'or####raining.net':80
'ne####arythrown.net':80
'or###hunger.net':80
're####estorm.net':80
'or###thrown.net':80
're####etraining.net':80
'or###storm.net':80
'ne####aryhunger.net':80
'pl#####ttraining.net':80
'he###thrown.net':80
'pl####nthunger.net':80
'ne####arystorm.net':80
'pl####ntthrown.net':80
'ne#####rytraining.net':80
'pl####ntstorm.net':80
're####ethrown.net':80
'ge###estorm.net':80
'ge####thrown.net':80
'ge####hunger.net':80
'ge####training.net':80
'va####straining.net':80
're####training.net':80
'va####shunger.net':80
're####hunger.net':80
'le####training.net':80
'he####training.net':80
'le####hunger.net':80
'he####hunger.net':80
'le####thrown.net':80
'he####thrown.net':80
'le###rstorm.net':80
'he###nstorm.net':80
'di####ultthrown.net':80
're####therefore.net':80
'de####hunger.net':80
're####question.net':80
'va#####therefore.net':80
'fo####dtraining.net':80
'de###estorm.net':80
'fo####dhunger.net':80
'de####training.net':80
'ge####therefore.net':80
'va####sschool.net':80
'ge####question.net':80
'he####herefore.net':80
're###nwhile.net':80
'va####squestion.net':80
're####school.net':80
'va####swhile.net':80
'fo####dstorm.net':80
'di####ulthunger.net':80
'he###hunger.net':80
'an####thrown.net':80
'gl###thrown.net':80
'di####ultstorm.net':80
'he###storm.net':80
'di#####lttraining.net':80
'he####raining.net':80
'an####hunger.net':80
'gl###hunger.net':80
'de####thrown.net':80
'fo####dthrown.net':80
'an###rstorm.net':80
'gl###storm.net':80
'an####training.net':80
'gl####raining.net':80

TCP:

HTTP GET requests:

http://re####ehunger.net/index.php?em###########################################
http://or####raining.net/index.php?em###########################################
http://ne####arythrown.net/index.php?em###########################################
http://or###hunger.net/index.php?em###########################################
http://re####estorm.net/index.php?em###########################################
http://or###thrown.net/index.php?em###########################################
http://re####etraining.net/index.php?em###########################################
http://or###storm.net/index.php?em###########################################
http://ne####aryhunger.net/index.php?em###########################################
http://pl#####ttraining.net/index.php?em###########################################
http://he###thrown.net/index.php?em###########################################
http://pl####nthunger.net/index.php?em###########################################
http://ne####arystorm.net/index.php?em###########################################
http://pl####ntthrown.net/index.php?em###########################################
http://ne#####rytraining.net/index.php?em###########################################
http://pl####ntstorm.net/index.php?em###########################################
http://re####ethrown.net/index.php?em###########################################
http://ge###estorm.net/index.php?em###########################################
http://ge####thrown.net/index.php?em###########################################
http://ge####hunger.net/index.php?em###########################################
http://ge####training.net/index.php?em###########################################
http://va####straining.net/index.php?em###########################################
http://re####training.net/index.php?em###########################################
http://va####shunger.net/index.php?em###########################################
http://re####hunger.net/index.php?em###########################################
http://le####training.net/index.php?em###########################################
http://he####training.net/index.php?em###########################################
http://le####hunger.net/index.php?em###########################################
http://he####hunger.net/index.php?em###########################################
http://le####thrown.net/index.php?em###########################################
http://he####thrown.net/index.php?em###########################################
http://le###rstorm.net/index.php?em###########################################
http://he###nstorm.net/index.php?em###########################################
http://di####ultthrown.net/index.php?em###########################################
http://re####therefore.net/index.php?em###########################################
http://de####hunger.net/index.php?em###########################################
http://re####question.net/index.php?em###########################################
http://va#####therefore.net/index.php?em###########################################
http://fo####dtraining.net/index.php?em###########################################
http://de###estorm.net/index.php?em###########################################
http://fo####dhunger.net/index.php?em###########################################
http://de####training.net/index.php?em###########################################
http://ge####therefore.net/index.php?em###########################################
http://va####sschool.net/index.php?em###########################################
http://ge####question.net/index.php?em###########################################
http://he####herefore.net/index.php?em###########################################
http://re###nwhile.net/index.php?em###########################################
http://va####squestion.net/index.php?em###########################################
http://re####school.net/index.php?em###########################################
http://va####swhile.net/index.php?em###########################################
http://fo####dstorm.net/index.php?em###########################################
http://di####ulthunger.net/index.php?em###########################################
http://he###hunger.net/index.php?em###########################################
http://an####thrown.net/index.php?em###########################################
http://gl###thrown.net/index.php?em###########################################
http://di####ultstorm.net/index.php?em###########################################
http://he###storm.net/index.php?em###########################################
http://di#####lttraining.net/index.php?em###########################################
http://he####raining.net/index.php?em###########################################
http://an####hunger.net/index.php?em###########################################
http://gl###hunger.net/index.php?em###########################################
http://de####thrown.net/index.php?em###########################################
http://fo####dthrown.net/index.php?em###########################################
http://an###rstorm.net/index.php?em###########################################
http://gl###storm.net/index.php?em###########################################
http://an####training.net/index.php?em###########################################
http://gl####raining.net/index.php?em###########################################

UDP:

DNS ASK or####raining.net
DNS ASK re####etraining.net
DNS ASK or###hunger.net
DNS ASK re####ehunger.net
DNS ASK or###thrown.net
DNS ASK re####ethrown.net
DNS ASK or###storm.net
DNS ASK re####estorm.net
DNS ASK ne####arythrown.net
DNS ASK ne####aryhunger.net
DNS ASK pl#####ttraining.net
DNS ASK he###thrown.net
DNS ASK pl####nthunger.net
DNS ASK ne####arystorm.net
DNS ASK pl####ntthrown.net
DNS ASK ne#####rytraining.net
DNS ASK pl####ntstorm.net
DNS ASK ge####thrown.net
DNS ASK va####shunger.net
DNS ASK ge####training.net
DNS ASK ge###estorm.net
DNS ASK re####training.net
DNS ASK va####sstorm.net
DNS ASK re####hunger.net
DNS ASK va####straining.net
DNS ASK ge####hunger.net
DNS ASK le####training.net
DNS ASK he####training.net
DNS ASK le####hunger.net
DNS ASK he####hunger.net
DNS ASK le####thrown.net
DNS ASK he####thrown.net
DNS ASK le###rstorm.net
DNS ASK he###nstorm.net
DNS ASK de####hunger.net
DNS ASK fo####dhunger.net
DNS ASK va#####therefore.net
DNS ASK re####therefore.net
DNS ASK de###estorm.net
DNS ASK fo####dstorm.net
DNS ASK de####training.net
DNS ASK fo####dtraining.net
DNS ASK re####question.net
DNS ASK ge####therefore.net
DNS ASK va####sschool.net
DNS ASK ge####question.net
DNS ASK he####herefore.net
DNS ASK re###nwhile.net
DNS ASK va####squestion.net
DNS ASK re####school.net
DNS ASK va####swhile.net
DNS ASK he###hunger.net
DNS ASK di#####lttraining.net
DNS ASK gl###thrown.net
DNS ASK di####ulthunger.net
DNS ASK he###storm.net
DNS ASK di####ultthrown.net
DNS ASK he####raining.net
DNS ASK di####ultstorm.net
DNS ASK an####thrown.net
DNS ASK an####hunger.net
DNS ASK gl###hunger.net
DNS ASK de####thrown.net
DNS ASK fo####dthrown.net
DNS ASK an###rstorm.net
DNS ASK gl###storm.net
DNS ASK an####training.net
DNS ASK gl####raining.net

Miscellaneous:

Searches for the following windows:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''

TECHNOLOGIES

TERMINOLOGIE

COURS ET EDU

MYTHES

Technical Information

Recommandations pour le traitement

Free trial