Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = '%APPDATA%\dbu32.ocx,explorer.exe'
Malicious functions:
Executes the following:
- '<SYSTEM32>\svchost.exe'
Injects code into
the following system processes:
Modifies file system:
Creates the following files:
- %WINDIR%\ppgoiu.npw
- %APPDATA%\dbu32.ocx
- %ALLUSERSPROFILE%\Application Data\shqm\xpnet.rud
- %WINDIR%\aazpq.kab
Moves the following files:
- from <Full path to virus> to %TEMP%\1.tmp
Deletes itself.
Network activity:
Connects to:
- 'ln##frw.net':80
- 'sq###smskm.ru':80
- 'uc###nns.biz':80
- 'ou##wzx.biz':80
- 'ud##ut.org':80
- 'ap###frc.com':80
- 'un###vbxn.org':80
- 'md###wyy.info':80
- 'jg###fnd.biz':80
- 'uc###iwhrrj.com':80
- 'ng###hol.biz':80
- 'zp##ywo.net':80
- 'vs###woep.net':80
- 'kg##ko.org':80
- 'ab###xcgzr.ru':80
- 'hc###zixihc.ru':80
- 'ol###fmrtzm.org':80
- 'bl##xsi.biz':80
- 'uu##rhk.com':80
- 'ge###atsp.ru':80
- 'ue###fwk.com':80
- 'la###gaud.net':80
- 'nz###cgarq.net':80
- 'jj##ken.biz':80
- 'hm###zhlyl.ru':80
- 'qw###ezcxor.ru':80
- 'as##rj.info':80
- 'zl##wt.com':80
- 'bp##cqx.ru':80
- 'ij###pqhrro.ru':80
TCP:
HTTP POST requests:
- http://ln##frw.net/rMEowH?Yv#############################################
- http://ou##wzx.biz/icj1gf?Gk####################################################################
- http://uc###nns.biz/2Ofpok?tG############################################################################################
- http://sq###smskm.ru/t0yCfl?lh#############################################
- http://ud##ut.org/kFIYix?kt##########################################################################################
- http://qw###ezcxor.ru/jfLfhI?BU###############################################################################
- http://un###vbxn.org/YEmXtW7je?Kg#############################
- http://ap###frc.com/a4Wjnn?GS#############################################################################
- http://jg###fnd.biz/GOZ05mo?pq###########################
- http://zp##ywo.net/b4aOqh4yg?QW##############################
- http://ng###hol.biz/pxbzm?ST##########################################################################
- http://uc###iwhrrj.com/gf3hsX?Wi########################################################################
- http://vs###woep.net/9bRqcp?Ke###########################
- http://md###wyy.info/axtss?hK############################################
- http://ab###xcgzr.ru/FeRyfW?EW#############################
- http://kg##ko.org/bAw8ju?LX############################################
- http://hm###zhlyl.ru/pIvJdV?us###############################
- http://la###gaud.net/Cbz9kn?aF###############################
- http://ue###fwk.com/nUY4ck8qm?tS##############################################
- http://hc###zixihc.ru/856O41ip?Yp##########################################
- http://uu##rhk.com/DjojgD?cJ#############################################################################
- http://ge###atsp.ru/EsUisK?ub#############################
- http://ge###atsp.ru/y1bGju?Wg##########################
- http://ge###atsp.ru/O6u7?xi###################################
- http://ge###atsp.ru/MTXjie?fP#######################################################################################
- http://ij###pqhrro.ru/odWRjN?fO#################################################
- http://bp##cqx.ru/84Qb8az?EA#######################################################
- http://jj##ken.biz/Hs6Zlv5jf?RU##############################################################
- http://as##rj.info/f5zbwF?cO############################
- http://bl##xsi.biz/XXo8wc?Vn######################
- http://ol###fmrtzm.org/1CBc5un?WV######################################################################
- http://zl##wt.com/lwTJfI?gY######################################################
- http://nz###cgarq.net/0elydV?Kt###############################################################
UDP:
- DNS ASK ln##frw.net
- DNS ASK sq###smskm.ru
- DNS ASK uc###nns.biz
- DNS ASK ou##wzx.biz
- DNS ASK ud##ut.org
- DNS ASK ap###frc.com
- DNS ASK un###vbxn.org
- DNS ASK md###wyy.info
- DNS ASK jg###fnd.biz
- DNS ASK uc###iwhrrj.com
- DNS ASK ng###hol.biz
- DNS ASK zp##ywo.net
- DNS ASK vs###woep.net
- DNS ASK kg##ko.org
- DNS ASK ab###xcgzr.ru
- DNS ASK qw###ezcxor.ru
- DNS ASK uu##rhk.com
- DNS ASK hc###zixihc.ru
- DNS ASK ol###fmrtzm.org
- DNS ASK la###gaud.net
- DNS ASK microsoft.com
- DNS ASK ge###atsp.ru
- DNS ASK ue###fwk.com
- DNS ASK bl##xsi.biz
- DNS ASK as##rj.info
- DNS ASK jj##ken.biz
- DNS ASK hm###zhlyl.ru
- DNS ASK ij###pqhrro.ru
- DNS ASK nz###cgarq.net
- DNS ASK zl##wt.com
- DNS ASK bp##cqx.ru
