Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Removal Web Coordinator Internet Locator' = '%APPDATA%\ugojgkftwwuj\lranlxdjun.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\ugojgkftwwuj\svmtkvimjxz.exe' "%APPDATA%\ugojgkftwwuj\lranlxdjun.exe"
- '%APPDATA%\ugojgkftwwuj\lranlxdjun.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\ugojgkftwwuj\lranlxdjun.ouud
- %APPDATA%\ugojgkftwwuj\svmtkvimjxz.exe
- %APPDATA%\ugojgkftwwuj\lranlxdjun.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\ugojgkftwwuj\lranlxdjun.exe
Network activity:
Connects to:
- 'do####garden.net':80
- 'pr####garden.net':80
- 'do####beauty.net':80
- 'pr####beauty.net':80
- 'fe####market.net':80
- 'fe####garden.net':80
- 'br####market.net':80
- 'fe####report.net':80
- 'fe####beauty.net':80
- 'mi###beauty.net':80
- 'st###garden.net':80
- 'mi###report.net':80
- 'st###beauty.net':80
- 'mi###garden.net':80
- 'do####report.net':80
- 'pr####report.net':80
- 'do####market.net':80
- 'pr####market.net':80
- 're####market.net':80
- 'de####beauty.net':80
- 'pr####egarden.net':80
- 'de####report.net':80
- 'pr####ebeauty.net':80
- 'de####garden.net':80
- 'st####thbeauty.net':80
- 'st####thgarden.net':80
- 'st####thmarket.net':80
- 'st####threport.net':80
- 'br####beauty.net':80
- 're####beauty.net':80
- 'br####report.net':80
- 're####report.net':80
- 'br####garden.net':80
- 'de####market.net':80
- 'pr####ereport.net':80
- 're####garden.net':80
- 'pr####emarket.net':80
- 'st###report.net':80
- 'st####thattempt.net':80
- 'st####ttempt.net':80
- 'pr####espread.net':80
- 'de####spread.net':80
- 'st####thsquare.net':80
- 'st####eighbor.net':80
- 'st####thspread.net':80
- 'st###square.net':80
- 'st#####hneighbor.net':80
- 're####spread.net':80
- 'pr####eattempt.net':80
- 're####neighbor.net':80
- 'br####spread.net':80
- 'de####attempt.net':80
- 'pr####eneighbor.net':80
- 'de####neighbor.net':80
- 'pr####esquare.net':80
- 'de####square.net':80
- 'st###spread.net':80
- 'ev####greport.net':80
- 'bu####ngbeauty.net':80
- 'ev####gmarket.net':80
- 'bu####ngreport.net':80
- 'ev####gbeauty.net':80
- 'st###market.net':80
- 'mi###market.net':80
- 'bu####nggarden.net':80
- 'ev####ggarden.net':80
- 'mo####ntreport.net':80
- 'ou####ereport.net':80
- 'mo####ntmarket.net':80
- 'ou####emarket.net':80
- 'mo####ntbeauty.net':80
- 'ou####egarden.net':80
- 'bu####ngmarket.net':80
- 'ou####ebeauty.net':80
- 'mo####ntgarden.net':80
TCP:
HTTP GET requests:
- http://do####garden.net/index.php?em###########################################
- http://pr####garden.net/index.php?em###########################################
- http://do####beauty.net/index.php?em###########################################
- http://pr####beauty.net/index.php?em###########################################
- http://fe####market.net/index.php?em###########################################
- http://fe####garden.net/index.php?em###########################################
- http://br####market.net/index.php?em###########################################
- http://fe####report.net/index.php?em###########################################
- http://fe####beauty.net/index.php?em###########################################
- http://mi###beauty.net/index.php?em###########################################
- http://st###garden.net/index.php?em###########################################
- http://mi###report.net/index.php?em###########################################
- http://st###beauty.net/index.php?em###########################################
- http://mi###garden.net/index.php?em###########################################
- http://do####report.net/index.php?em###########################################
- http://pr####report.net/index.php?em###########################################
- http://do####market.net/index.php?em###########################################
- http://pr####market.net/index.php?em###########################################
- http://re####market.net/index.php?em###########################################
- http://de####beauty.net/index.php?em###########################################
- http://pr####egarden.net/index.php?em###########################################
- http://de####report.net/index.php?em###########################################
- http://pr####ebeauty.net/index.php?em###########################################
- http://de####garden.net/index.php?em###########################################
- http://st####thbeauty.net/index.php?em###########################################
- http://st####thgarden.net/index.php?em###########################################
- http://st####thmarket.net/index.php?em###########################################
- http://st####threport.net/index.php?em###########################################
- http://br####beauty.net/index.php?em###########################################
- http://re####beauty.net/index.php?em###########################################
- http://br####report.net/index.php?em###########################################
- http://re####report.net/index.php?em###########################################
- http://br####garden.net/index.php?em###########################################
- http://de####market.net/index.php?em###########################################
- http://pr####ereport.net/index.php?em###########################################
- http://re####garden.net/index.php?em###########################################
- http://pr####emarket.net/index.php?em###########################################
- http://st###report.net/index.php?em###########################################
- http://st####thattempt.net/index.php?em###########################################
- http://st####ttempt.net/index.php?em###########################################
- http://pr####espread.net/index.php?em###########################################
- http://de####spread.net/index.php?em###########################################
- http://st####thsquare.net/index.php?em###########################################
- http://st####eighbor.net/index.php?em###########################################
- http://st####thspread.net/index.php?em###########################################
- http://st###square.net/index.php?em###########################################
- http://st#####hneighbor.net/index.php?em###########################################
- http://re####spread.net/index.php?em###########################################
- http://pr####eattempt.net/index.php?em###########################################
- http://re####neighbor.net/index.php?em###########################################
- http://br####spread.net/index.php?em###########################################
- http://de####attempt.net/index.php?em###########################################
- http://pr####eneighbor.net/index.php?em###########################################
- http://de####neighbor.net/index.php?em###########################################
- http://pr####esquare.net/index.php?em###########################################
- http://de####square.net/index.php?em###########################################
- http://st###spread.net/index.php?em###########################################
- http://ev####greport.net/index.php?em###########################################
- http://bu####ngbeauty.net/index.php?em###########################################
- http://ev####gmarket.net/index.php?em###########################################
- http://bu####ngreport.net/index.php?em###########################################
- http://ev####gbeauty.net/index.php?em###########################################
- http://st###market.net/index.php?em###########################################
- http://mi###market.net/index.php?em###########################################
- http://bu####nggarden.net/index.php?em###########################################
- http://ev####ggarden.net/index.php?em###########################################
- http://mo####ntreport.net/index.php?em###########################################
- http://ou####ereport.net/index.php?em###########################################
- http://mo####ntmarket.net/index.php?em###########################################
- http://ou####emarket.net/index.php?em###########################################
- http://mo####ntbeauty.net/index.php?em###########################################
- http://ou####egarden.net/index.php?em###########################################
- http://bu####ngmarket.net/index.php?em###########################################
- http://ou####ebeauty.net/index.php?em###########################################
- http://mo####ntgarden.net/index.php?em###########################################
UDP:
- DNS ASK do####garden.net
- DNS ASK pr####garden.net
- DNS ASK do####beauty.net
- DNS ASK pr####beauty.net
- DNS ASK fe####market.net
- DNS ASK fe####garden.net
- DNS ASK br####market.net
- DNS ASK fe####report.net
- DNS ASK fe####beauty.net
- DNS ASK mi###beauty.net
- DNS ASK st###garden.net
- DNS ASK mi###report.net
- DNS ASK st###beauty.net
- DNS ASK mi###garden.net
- DNS ASK do####report.net
- DNS ASK pr####report.net
- DNS ASK do####market.net
- DNS ASK pr####market.net
- DNS ASK re####market.net
- DNS ASK de####beauty.net
- DNS ASK pr####egarden.net
- DNS ASK de####report.net
- DNS ASK pr####ebeauty.net
- DNS ASK de####garden.net
- DNS ASK st####thbeauty.net
- DNS ASK st####thgarden.net
- DNS ASK st####thmarket.net
- DNS ASK st####threport.net
- DNS ASK br####beauty.net
- DNS ASK re####beauty.net
- DNS ASK br####report.net
- DNS ASK re####report.net
- DNS ASK br####garden.net
- DNS ASK de####market.net
- DNS ASK pr####ereport.net
- DNS ASK re####garden.net
- DNS ASK pr####emarket.net
- DNS ASK st###report.net
- DNS ASK st####thattempt.net
- DNS ASK st####ttempt.net
- DNS ASK pr####espread.net
- DNS ASK de####spread.net
- DNS ASK st####thsquare.net
- DNS ASK st####eighbor.net
- DNS ASK st####thspread.net
- DNS ASK st###square.net
- DNS ASK st#####hneighbor.net
- DNS ASK re####spread.net
- DNS ASK pr####eattempt.net
- DNS ASK re####neighbor.net
- DNS ASK br####spread.net
- DNS ASK de####attempt.net
- DNS ASK pr####eneighbor.net
- DNS ASK de####neighbor.net
- DNS ASK pr####esquare.net
- DNS ASK de####square.net
- DNS ASK st###spread.net
- DNS ASK ev####greport.net
- DNS ASK bu####ngbeauty.net
- DNS ASK ev####gmarket.net
- DNS ASK bu####ngreport.net
- DNS ASK ev####gbeauty.net
- DNS ASK st###market.net
- DNS ASK mi###market.net
- DNS ASK bu####nggarden.net
- DNS ASK ev####ggarden.net
- DNS ASK mo####ntreport.net
- DNS ASK ou####ereport.net
- DNS ASK mo####ntmarket.net
- DNS ASK ou####emarket.net
- DNS ASK mo####ntbeauty.net
- DNS ASK ou####egarden.net
- DNS ASK bu####ngmarket.net
- DNS ASK ou####ebeauty.net
- DNS ASK mo####ntgarden.net
