Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'IP Reports Key AuthIP Management' = '<SYSTEM32>\nxthksmsbhin.exe'
Creates or modifies the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\nxthksmsbhin.exe
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Grouping Server Link Compatibility IP Smart] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\qcdpycki.exe' "<SYSTEM32>\nxthksmsbhin.exe"
- '%WINDIR%\Temp\fhk4fpz37h4qjbwk.exe' -r 37490 tcp
- '%TEMP%\fhk4fpz358tqjbwoiwxvz.exe'
- '<SYSTEM32>\nxthksmsbhin.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\nwycarl\run
- <SYSTEM32>\nwycarl\rng
- <SYSTEM32>\nwycarl\cfg
- <SYSTEM32>\nwycarl\por
- %WINDIR%\Temp\fhk4fpz37h4qjbwk.exe
- %TEMP%\fhk4fpz358tqjbwoiwxvz.exe
- <SYSTEM32>\nwycarl\tst
- <SYSTEM32>\nwycarl\etc
- <SYSTEM32>\qcdpycki.exe
- <SYSTEM32>\nxthksmsbhin.exe
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\qcdpycki.exe
- <SYSTEM32>\nxthksmsbhin.exe
Deletes the following files:
- %WINDIR%\Temp\fhk4fpz37h4qjbwk.exe
- %TEMP%\fhk4fpz358tqjbwoiwxvz.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'eq###sugar.net':80
- 'gr###sugar.net':80
- 'eq###stand.net':80
- 'gr###again.net':80
- 'eq###pass.net':80
- 'gr###pass.net':80
- 'sp###pass.net':80
- 'vi###pass.net':80
- 'sp###sugar.net':80
- 'gr###stand.net':80
- 'sp###again.net':80
- 'vi###again.net':80
- 'gl###gain.net':80
- 'ta###again.net':80
- 'gl###ass.net':80
- 'sa###ugar.net':80
- 'sp###tand.net':80
- 'sa###tand.net':80
- 'gl###tand.net':80
- 'ta###stand.net':80
- 'eq###again.net':80
- 'ta###pass.net':80
- 'gl###ugar.net':80
- 'ta###sugar.net':80
- 'vi###sugar.net':80
- 'th###ugar.net':80
- 'dr###stand.net':80
- 'th###tand.net':80
- 'dr###pass.net':80
- 'th###ass.net':80
- 'dr###sugar.net':80
- 'ha###aily.net':80
- 'hu###lose.net':80
- 'ha###ose.net':80
- 'hu###blood.net':80
- 'ha###lood.net':80
- 'hu###daily.net':80
- 'fa###gain.net':80
- 'wa###pass.net':80
- 'fa###ass.net':80
- 'sp###stand.net':80
- 'vi###stand.net':80
- 'wa###again.net':80
- 'fa###tand.net':80
- 'dr###again.net':80
- 'th###gain.net':80
- 'wa###sugar.net':80
- 'fa###ugar.net':80
- 'wa###stand.net':80
- 'sp###ugar.net':80
- 'wa###cook.net':80
- 'fa###ook.net':80
- 'wa###next.net':80
- 'mo###ray.net':80
- 'wa###tall.net':80
- 'fa###all.net':80
- 'dr###tall.net':80
- 'th###all.net':80
- 'dr###cook.net':80
- 'fa###ext.net':80
- 'wa###been.net':80
- 'fa###een.net':80
- 'th###rrefk.com':80
- 'ta###wash.net':80
- 'sa###ave.net':80
- 'el#####arimagine.com':80
- 'mo###uia.com':80
- 'pe###hecon.com':80
- 'li###hot.net':80
- 'ab###ach.net':80
- 'ju###ray.net':80
- 'yo###njoy.net':80
- 'lo###oss.net':80
- 'so###about.net':80
- 'th###ook.net':80
- 'wh###pass.net':80
- 'up###ugar.net':80
- 'wh###sugar.net':80
- 'up###gain.net':80
- 'wh###again.net':80
- 'up###ass.net':80
- 'sa###gain.net':80
- 'sp###ass.net':80
- 'sa###ass.net':80
- 'up###tand.net':80
- 'wh###stand.net':80
- 'sp###gain.net':80
- 'th###een.net':80
- 'ar###again.net':80
- 'so###again.net':80
- 'dr###next.net':80
- 'th###ext.net':80
- 'dr###been.net':80
- 'so###sugar.net':80
- 'ar###stand.net':80
- 'so###stand.net':80
- 'ar###pass.net':80
- 'so###pass.net':80
- 'ar###sugar.net':80
TCP:
HTTP GET requests:
- eq###sugar.net/forum/search.php?me#########################################
- gr###sugar.net/forum/search.php?me#########################################
- eq###stand.net/forum/search.php?me#########################################
- gr###again.net/forum/search.php?me#########################################
- eq###pass.net/forum/search.php?me#########################################
- gr###pass.net/forum/search.php?me#########################################
- sp###pass.net/forum/search.php?me#########################################
- vi###pass.net/forum/search.php?me#########################################
- sp###sugar.net/forum/search.php?me#########################################
- gr###stand.net/forum/search.php?me#########################################
- sp###again.net/forum/search.php?me#########################################
- vi###again.net/forum/search.php?me#########################################
- gl###gain.net/forum/search.php?me#########################################
- ta###again.net/forum/search.php?me#########################################
- gl###ass.net/forum/search.php?me#########################################
- sa###ugar.net/forum/search.php?me#########################################
- sp###tand.net/forum/search.php?me#########################################
- sa###tand.net/forum/search.php?me#########################################
- gl###tand.net/forum/search.php?me#########################################
- ta###stand.net/forum/search.php?me#########################################
- eq###again.net/forum/search.php?me#########################################
- ta###pass.net/forum/search.php?me#########################################
- gl###ugar.net/forum/search.php?me#########################################
- ta###sugar.net/forum/search.php?me#########################################
- vi###sugar.net/forum/search.php?me#########################################
- th###ugar.net/forum/search.php?me#########################################
- dr###stand.net/forum/search.php?me#########################################
- th###tand.net/forum/search.php?me#########################################
- dr###pass.net/forum/search.php?me#########################################
- th###ass.net/forum/search.php?me#########################################
- dr###sugar.net/forum/search.php?me#########################################
- ha###aily.net/forum/search.php?me#########################################
- hu###lose.net/forum/search.php?me#########################################
- ha###ose.net/forum/search.php?me#########################################
- hu###blood.net/forum/search.php?me#########################################
- ha###lood.net/forum/search.php?me#########################################
- hu###daily.net/forum/search.php?me#########################################
- fa###gain.net/forum/search.php?me#########################################
- wa###pass.net/forum/search.php?me#########################################
- fa###ass.net/forum/search.php?me#########################################
- sp###stand.net/forum/search.php?me#########################################
- vi###stand.net/forum/search.php?me#########################################
- wa###again.net/forum/search.php?me#########################################
- fa###tand.net/forum/search.php?me#########################################
- dr###again.net/forum/search.php?me#########################################
- th###gain.net/forum/search.php?me#########################################
- wa###sugar.net/forum/search.php?me#########################################
- fa###ugar.net/forum/search.php?me#########################################
- wa###stand.net/forum/search.php?me#########################################
- sp###ugar.net/forum/search.php?me#########################################
- wa###cook.net/forum/search.php?me#########################################
- fa###ook.net/forum/search.php?me#########################################
- wa###next.net/forum/search.php?me#########################################
- mo###ray.net/forum/search.php?me#########################################
- wa###tall.net/forum/search.php?me#########################################
- fa###all.net/forum/search.php?me#########################################
- dr###tall.net/forum/search.php?me#########################################
- th###all.net/forum/search.php?me#########################################
- dr###cook.net/forum/search.php?me#########################################
- fa###ext.net/forum/search.php?me#########################################
- wa###been.net/forum/search.php?me#########################################
- fa###een.net/forum/search.php?me#########################################
- th###rrefk.com/forum/search.php?me#########################################
- ta###wash.net/forum/search.php?me#########################################
- sa###ave.net/forum/search.php?me#########################################
- el#####arimagine.com/forum/search.php?me#########################################
- mo###uia.com/forum/search.php?me#########################################
- pe###hecon.com/forum/search.php?me#########################################
- li###hot.net/forum/search.php?me#########################################
- ab###ach.net/forum/search.php?me#########################################
- ju###ray.net/forum/search.php?me#########################################
- yo###njoy.net/forum/search.php?me#########################################
- lo###oss.net/forum/search.php?me#########################################
- so###about.net/forum/search.php?me#########################################
- th###ook.net/forum/search.php?me#########################################
- wh###pass.net/forum/search.php?me#########################################
- up###ugar.net/forum/search.php?me#########################################
- wh###sugar.net/forum/search.php?me#########################################
- up###gain.net/forum/search.php?me#########################################
- wh###again.net/forum/search.php?me#########################################
- up###ass.net/forum/search.php?me#########################################
- sa###gain.net/forum/search.php?me#########################################
- sp###ass.net/forum/search.php?me#########################################
- sa###ass.net/forum/search.php?me#########################################
- up###tand.net/forum/search.php?me#########################################
- wh###stand.net/forum/search.php?me#########################################
- sp###gain.net/forum/search.php?me#########################################
- th###een.net/forum/search.php?me#########################################
- ar###again.net/forum/search.php?me#########################################
- so###again.net/forum/search.php?me#########################################
- dr###next.net/forum/search.php?me#########################################
- th###ext.net/forum/search.php?me#########################################
- dr###been.net/forum/search.php?me#########################################
- so###sugar.net/forum/search.php?me#########################################
- ar###stand.net/forum/search.php?me#########################################
- so###stand.net/forum/search.php?me#########################################
- ar###pass.net/forum/search.php?me#########################################
- so###pass.net/forum/search.php?me#########################################
- ar###sugar.net/forum/search.php?me#########################################
UDP:
- DNS ASK eq###sugar.net
- DNS ASK gr###sugar.net
- DNS ASK eq###stand.net
- DNS ASK gr###again.net
- DNS ASK eq###pass.net
- DNS ASK gr###pass.net
- DNS ASK sp###pass.net
- DNS ASK vi###pass.net
- DNS ASK sp###sugar.net
- DNS ASK gr###stand.net
- DNS ASK sp###again.net
- DNS ASK vi###again.net
- DNS ASK eq###again.net
- DNS ASK sa###tand.net
- DNS ASK gl###gain.net
- DNS ASK ta###again.net
- DNS ASK sp###ugar.net
- DNS ASK sa###ugar.net
- DNS ASK sp###tand.net
- DNS ASK ta###sugar.net
- DNS ASK gl###tand.net
- DNS ASK ta###stand.net
- DNS ASK gl###ass.net
- DNS ASK ta###pass.net
- DNS ASK gl###ugar.net
- DNS ASK th###ugar.net
- DNS ASK dr###stand.net
- DNS ASK th###tand.net
- DNS ASK dr###pass.net
- DNS ASK th###ass.net
- DNS ASK dr###sugar.net
- DNS ASK ha###aily.net
- DNS ASK hu###lose.net
- DNS ASK ha###ose.net
- DNS ASK hu###blood.net
- DNS ASK ha###lood.net
- DNS ASK hu###daily.net
- DNS ASK th###gain.net
- DNS ASK wa###again.net
- DNS ASK fa###gain.net
- DNS ASK wa###pass.net
- DNS ASK vi###sugar.net
- DNS ASK sp###stand.net
- DNS ASK vi###stand.net
- DNS ASK wa###stand.net
- DNS ASK fa###tand.net
- DNS ASK dr###again.net
- DNS ASK fa###ass.net
- DNS ASK wa###sugar.net
- DNS ASK fa###ugar.net
- DNS ASK wa###cook.net
- DNS ASK fa###ook.net
- DNS ASK wa###next.net
- DNS ASK mo###ray.net
- DNS ASK wa###tall.net
- DNS ASK fa###all.net
- DNS ASK dr###tall.net
- DNS ASK th###all.net
- DNS ASK dr###cook.net
- DNS ASK fa###ext.net
- DNS ASK wa###been.net
- DNS ASK fa###een.net
- DNS ASK th###rrefk.com
- DNS ASK ta###wash.net
- DNS ASK sa###ave.net
- DNS ASK el#####arimagine.com
- DNS ASK mo###uia.com
- DNS ASK pe###hecon.com
- DNS ASK li###hot.net
- DNS ASK ab###ach.net
- DNS ASK ju###ray.net
- DNS ASK yo###njoy.net
- DNS ASK lo###oss.net
- DNS ASK so###about.net
- DNS ASK th###ook.net
- DNS ASK wh###pass.net
- DNS ASK up###ugar.net
- DNS ASK wh###sugar.net
- DNS ASK up###gain.net
- DNS ASK wh###again.net
- DNS ASK up###ass.net
- DNS ASK sa###gain.net
- DNS ASK sp###ass.net
- DNS ASK sa###ass.net
- DNS ASK up###tand.net
- DNS ASK wh###stand.net
- DNS ASK sp###gain.net
- DNS ASK th###een.net
- DNS ASK ar###again.net
- DNS ASK so###again.net
- DNS ASK dr###next.net
- DNS ASK th###ext.net
- DNS ASK dr###been.net
- DNS ASK so###sugar.net
- DNS ASK ar###stand.net
- DNS ASK so###stand.net
- DNS ASK ar###pass.net
- DNS ASK so###pass.net
- DNS ASK ar###sugar.net
- '23#.#55.255.250':1900
