Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Encryption SPP Remote Notification' = '%APPDATA%\xituqja\bzsm8j5.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\xituqja\id6ysh.exe' "%APPDATA%\xituqja\bzsm8j5.exe"
- '%APPDATA%\xituqja\bzsm8j5.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\xituqja\bzsm8j5.eq
- %APPDATA%\xituqja\id6ysh.exe
- %APPDATA%\xituqja\bzsm8j5.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\xituqja\bzsm8j5.exe
Network activity:
Connects to:
- 'al####ystranger.net':80
- 'ge#####angoodbye.net':80
- 'al####ygoodbye.net':80
- 'ge#####anstranger.net':80
- 'ex#####ncefortieth.net':80
- 'ge#####anadvance.net':80
- 'al####yadvance.net':80
- 'ge#####anfortieth.net':80
- 'me####stranger.net':80
- 'fo####goodbye.net':80
- 'me####goodbye.net':80
- 'fo####stranger.net':80
- 'al####yfortieth.net':80
- 'fo####advance.net':80
- 'me####advance.net':80
- 'pa####pecial.net':80
- 'fi####pecial.net':80
- 'pa###corner.net':80
- 'fi###minute.net':80
- 'pa###flower.net':80
- 'fi###flower.net':80
- 'pa###minute.net':80
- 'fi###corner.net':80
- 'fr####oodbye.net':80
- 'ex#####ncegoodbye.net':80
- 'fr####ortieth.net':80
- 'ex#####ncestranger.net':80
- 'fr####dvance.net':80
- 'ex#####nceadvance.net':80
- 'fr####tranger.net':80
TCP:
HTTP GET requests:
- al####ystranger.net/index.php?em###################################################################
- ge#####angoodbye.net/index.php?em###################################################################
- al####ygoodbye.net/index.php?em###################################################################
- ge#####anstranger.net/index.php?em###################################################################
- ex#####ncefortieth.net/index.php?em###################################################################
- ge#####anadvance.net/index.php?em###################################################################
- al####yadvance.net/index.php?em###################################################################
- ge#####anfortieth.net/index.php?em###################################################################
- me####stranger.net/index.php?em###################################################################
- fo####goodbye.net/index.php?em###################################################################
- me####goodbye.net/index.php?em###################################################################
- fo####stranger.net/index.php?em###################################################################
- al####yfortieth.net/index.php?em###################################################################
- fo####advance.net/index.php?em###################################################################
- me####advance.net/index.php?em###################################################################
- pa####pecial.net/index.php?em###################################################################
- fi####pecial.net/index.php?em###################################################################
- pa###corner.net/index.php?em###################################################################
- fi###minute.net/index.php?em###################################################################
- pa###flower.net/index.php?em###################################################################
- fi###flower.net/index.php?em###################################################################
- pa###minute.net/index.php?em###################################################################
- fi###corner.net/index.php?em###################################################################
- fr####oodbye.net/index.php?em###################################################################
- ex#####ncegoodbye.net/index.php?em###################################################################
- fr####ortieth.net/index.php?em###################################################################
- ex#####ncestranger.net/index.php?em###################################################################
- fr####dvance.net/index.php?em###################################################################
- ex#####nceadvance.net/index.php?em###################################################################
- fr####tranger.net/index.php?em###################################################################
UDP:
- DNS ASK al####ystranger.net
- DNS ASK ge#####angoodbye.net
- DNS ASK al####ygoodbye.net
- DNS ASK ge#####anstranger.net
- DNS ASK ex#####ncefortieth.net
- DNS ASK ge#####anadvance.net
- DNS ASK al####yadvance.net
- DNS ASK ge#####anfortieth.net
- DNS ASK me####stranger.net
- DNS ASK fo####goodbye.net
- DNS ASK me####goodbye.net
- DNS ASK fo####stranger.net
- DNS ASK al####yfortieth.net
- DNS ASK fo####advance.net
- DNS ASK me####advance.net
- DNS ASK pa####pecial.net
- DNS ASK fi####pecial.net
- DNS ASK pa###corner.net
- DNS ASK fi###minute.net
- DNS ASK pa###flower.net
- DNS ASK fi###flower.net
- DNS ASK pa###minute.net
- DNS ASK fi###corner.net
- DNS ASK fr####oodbye.net
- DNS ASK ex#####ncegoodbye.net
- DNS ASK fr####ortieth.net
- DNS ASK ex#####ncestranger.net
- DNS ASK fr####dvance.net
- DNS ASK ex#####nceadvance.net
- DNS ASK fr####tranger.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
