Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Endpoint RPC SPP PNRP Copy Proxy' = '%APPDATA%\cmsreubotijulxc\zguadoikh.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\cmsreubotijulxc\mpkvsamifooo.exe' "%APPDATA%\cmsreubotijulxc\zguadoikh.exe"
- '%APPDATA%\cmsreubotijulxc\zguadoikh.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\cmsreubotijulxc\zguadoikh.juu
- %APPDATA%\cmsreubotijulxc\mpkvsamifooo.exe
- %APPDATA%\cmsreubotijulxc\zguadoikh.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\cmsreubotijulxc\zguadoikh.exe
Network activity:
Connects to:
- 'ga###rbuilt.net':80
- 'be###rbuilt.net':80
- 'be###rcarry.net':80
- 'fl###father.net':80
- 'ga###rcarry.net':80
- 'ga###rapple.net':80
- 'tr###carry.net':80
- 'st###tcarry.net':80
- 'be####father.net':80
- 'be###rapple.net':80
- 'ga####father.net':80
- 'br###father.net':80
- 'se####father.net':80
- 'qu###father.net':80
- 'qu###apple.net':80
- 'qu###built.net':80
- 'se###napple.net':80
- 'br###carry.net':80
- 'br###apple.net':80
- 'fl###apple.net':80
- 'fl###built.net':80
- 'fl###carry.net':80
- 'br###built.net':80
- 'tr###built.net':80
- 'ca####nbuilt.net':80
- 'la###built.net':80
- 'la###carry.net':80
- 're####father.net':80
- 'ca####ncarry.net':80
- 'ca####napple.net':80
- 'de###ecarry.net':80
- 'ni###carry.net':80
- 'la###father.net':80
- 'la###apple.net':80
- 'ca####nfather.net':80
- 'el####icfather.net':80
- 'tr###father.net':80
- 'st####father.net':80
- 'st###tapple.net':80
- 'st###tbuilt.net':80
- 'tr###apple.net':80
- 'el####iccarry.net':80
- 'el####icapple.net':80
- 're###dapple.net':80
- 're###dbuilt.net':80
- 're###dcarry.net':80
- 'el####icbuilt.net':80
TCP:
HTTP GET requests:
- http://ga###rbuilt.net/index.php?em######################################
- http://be###rbuilt.net/index.php?em######################################
- http://be###rcarry.net/index.php?em######################################
- http://fl###father.net/index.php?em######################################
- http://ga###rcarry.net/index.php?em######################################
- http://ga###rapple.net/index.php?em######################################
- http://tr###carry.net/index.php?em######################################
- http://st###tcarry.net/index.php?em######################################
- http://be####father.net/index.php?em######################################
- http://be###rapple.net/index.php?em######################################
- http://ga####father.net/index.php?em######################################
- http://br###father.net/index.php?em######################################
- http://se####father.net/index.php?em######################################
- http://qu###father.net/index.php?em######################################
- http://qu###apple.net/index.php?em######################################
- http://qu###built.net/index.php?em######################################
- http://se###napple.net/index.php?em######################################
- http://br###carry.net/index.php?em######################################
- http://br###apple.net/index.php?em######################################
- http://fl###apple.net/index.php?em######################################
- http://fl###built.net/index.php?em######################################
- http://fl###carry.net/index.php?em######################################
- http://br###built.net/index.php?em######################################
- http://tr###built.net/index.php?em######################################
- http://ca####nbuilt.net/index.php?em######################################
- http://la###built.net/index.php?em######################################
- http://la###carry.net/index.php?em######################################
- http://re####father.net/index.php?em######################################
- http://ca####ncarry.net/index.php?em######################################
- http://ca####napple.net/index.php?em######################################
- http://de###ecarry.net/index.php?em######################################
- http://ni###carry.net/index.php?em######################################
- http://la###father.net/index.php?em######################################
- http://la###apple.net/index.php?em######################################
- http://ca####nfather.net/index.php?em######################################
- http://el####icfather.net/index.php?em######################################
- http://tr###father.net/index.php?em######################################
- http://st####father.net/index.php?em######################################
- http://st###tapple.net/index.php?em######################################
- http://st###tbuilt.net/index.php?em######################################
- http://tr###apple.net/index.php?em######################################
- http://el####iccarry.net/index.php?em######################################
- http://el####icapple.net/index.php?em######################################
- http://re###dapple.net/index.php?em######################################
- http://re###dbuilt.net/index.php?em######################################
- http://re###dcarry.net/index.php?em######################################
- http://el####icbuilt.net/index.php?em######################################
UDP:
- DNS ASK ga###rbuilt.net
- DNS ASK be###rbuilt.net
- DNS ASK be###rcarry.net
- DNS ASK fl###father.net
- DNS ASK ga###rcarry.net
- DNS ASK ga###rapple.net
- DNS ASK tr###carry.net
- DNS ASK st###tcarry.net
- DNS ASK be####father.net
- DNS ASK be###rapple.net
- DNS ASK ga####father.net
- DNS ASK br###father.net
- DNS ASK se####father.net
- DNS ASK qu###father.net
- DNS ASK qu###apple.net
- DNS ASK qu###built.net
- DNS ASK se###napple.net
- DNS ASK br###carry.net
- DNS ASK br###apple.net
- DNS ASK fl###apple.net
- DNS ASK fl###built.net
- DNS ASK fl###carry.net
- DNS ASK br###built.net
- DNS ASK tr###built.net
- DNS ASK ca####nbuilt.net
- DNS ASK la###built.net
- DNS ASK la###carry.net
- DNS ASK re####father.net
- DNS ASK ca####ncarry.net
- DNS ASK ca####napple.net
- DNS ASK de###ecarry.net
- DNS ASK ni###carry.net
- DNS ASK la###father.net
- DNS ASK la###apple.net
- DNS ASK ca####nfather.net
- DNS ASK el####icfather.net
- DNS ASK tr###father.net
- DNS ASK st####father.net
- DNS ASK st###tapple.net
- DNS ASK st###tbuilt.net
- DNS ASK tr###apple.net
- DNS ASK el####iccarry.net
- DNS ASK el####icapple.net
- DNS ASK re###dapple.net
- DNS ASK re###dbuilt.net
- DNS ASK re###dcarry.net
- DNS ASK el####icbuilt.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
