Win32.HLLW.Autoruner1.61544

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Encryption Block Cryptographic' = '<SYSTEM32>\ekkscectbx.exe'

Creates or modifies the following files:

%HOMEPATH%\Start Menu\Programs\Startup\ekkscectbx.exe

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\PNRP SPP Cryptographic Card Spooler VC Builder] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

'<SYSTEM32>\wkotqhaewu.exe' "<SYSTEM32>\ekkscectbx.exe"
'%WINDIR%\Temp\nxrupyu3fs5alhhz.exe' -r 39482 tcp
'%TEMP%\nxrupyu3cnralhhupapyn.exe'
'<SYSTEM32>\ekkscectbx.exe'

Modifies file system :

Creates the following files:

<SYSTEM32>\xbvciinbqkjuaj\run
<SYSTEM32>\xbvciinbqkjuaj\rng
<SYSTEM32>\xbvciinbqkjuaj\cfg
<SYSTEM32>\xbvciinbqkjuaj\por
%WINDIR%\Temp\nxrupyu3fs5alhhz.exe
%TEMP%\nxrupyu3cnralhhupapyn.exe
<SYSTEM32>\xbvciinbqkjuaj\tst
<SYSTEM32>\xbvciinbqkjuaj\etc
<SYSTEM32>\wkotqhaewu.exe
<SYSTEM32>\ekkscectbx.exe

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\wkotqhaewu.exe
<SYSTEM32>\ekkscectbx.exe

Deletes the following files:

%WINDIR%\Temp\nxrupyu3fs5alhhz.exe
<DRIVERS>\etc\hosts

Substitutes the HOSTS file.

Network activity:

Connects to:

'ma###rmy.net':80
'wr###edge.net':80
'wr###army.net':80
'wr###april.net':80
'ma###pril.net':80
'ma###dge.net':80
'ha###tudy.net':80
'hu###loss.net':80
'hu###study.net':80
'hu###uncle.net':80
'ha###ncle.net':80
'de###pril.net':80
'ro###pril.net':80
'ro###ray.net':80
'wi###dge.net':80
'de###ray.net':80
'de###rmy.net':80
'wr###gray.net':80
'ma###ray.net':80
'ro###dge.net':80
'ro###rmy.net':80
'de###dge.net':80
'ha###oss.net':80
'we###oss.net':80
'sp###loss.net':80
'sp###study.net':80
'sp###uncle.net':80
'we###tudy.net':80
'we###nce.net':80
'fr###study.net':80
'of###study.net':80
'of###uncle.net':80
'sp###once.net':80
'fr###uncle.net':80
'mu###uncle.net':80
'ya###tudy.net':80
'ya###ncle.net':80
'hu###once.net':80
'ha###nce.net':80
'mu###study.net':80
'mu###once.net':80
'we###ncle.net':80
'ya###nce.net':80
'ya###oss.net':80
'mu###loss.net':80
'mu###edge.net':80
'we###ray.net':80
'ya###dge.net':80
'ya###rmy.net':80
'mu###army.net':80
'sp###gray.net':80
'sp###army.net':80
'we###dge.net':80
'we###rmy.net':80
'we###pril.net':80
'sp###april.net':80
'mo###itio.com':80
'mo###uia.com':80
'ja###uter.com':80
'do####club-grup.com':80
'el#####arimagine.com':80
'vi###mojo.com':80
'ya###pril.net':80
'mu###april.net':80
'mu###gray.net':80
'ha###dge.net':80
'ya###ray.net':80
'sp###edge.net':80
'se####beredge.net':80
'jo###ray.net':80
'se####berarmy.net':80
'se####berapril.net':80
'ha###rmy.net':80
'wi###ray.net':80
'wi###rmy.net':80
'jo###dge.net':80
'jo###rmy.net':80
'jo###pril.net':80
'wi###pril.net':80
'of###april.net':80
'fr###army.net':80
'fr###april.net':80
'fr###gray.net':80
'of###gray.net':80
'of###army.net':80
'se####bergray.net':80
'ha###pril.net':80
'ha###ray.net':80
'fr###edge.net':80
'of###edge.net':80

TCP:

HTTP GET requests:

ma###rmy.net/forum/search.php?me#########################################
wr###edge.net/forum/search.php?me#########################################
wr###army.net/forum/search.php?me#########################################
wr###april.net/forum/search.php?me#########################################
ma###pril.net/forum/search.php?me#########################################
ma###dge.net/forum/search.php?me#########################################
ha###tudy.net/forum/search.php?me#########################################
hu###loss.net/forum/search.php?me#########################################
hu###study.net/forum/search.php?me#########################################
hu###uncle.net/forum/search.php?me#########################################
ha###ncle.net/forum/search.php?me#########################################
de###pril.net/forum/search.php?me#########################################
ro###pril.net/forum/search.php?me#########################################
ro###ray.net/forum/search.php?me#########################################
wi###dge.net/forum/search.php?me#########################################
de###ray.net/forum/search.php?me#########################################
de###rmy.net/forum/search.php?me#########################################
wr###gray.net/forum/search.php?me#########################################
ma###ray.net/forum/search.php?me#########################################
ro###dge.net/forum/search.php?me#########################################
ro###rmy.net/forum/search.php?me#########################################
de###dge.net/forum/search.php?me#########################################
ha###oss.net/forum/search.php?me#########################################
we###oss.net/forum/search.php?me#########################################
sp###loss.net/forum/search.php?me#########################################
sp###study.net/forum/search.php?me#########################################
sp###uncle.net/forum/search.php?me#########################################
we###tudy.net/forum/search.php?me#########################################
we###nce.net/forum/search.php?me#########################################
fr###study.net/forum/search.php?me#########################################
of###study.net/forum/search.php?me#########################################
of###uncle.net/forum/search.php?me#########################################
sp###once.net/forum/search.php?me#########################################
fr###uncle.net/forum/search.php?me#########################################
mu###uncle.net/forum/search.php?me#########################################
ya###tudy.net/forum/search.php?me#########################################
ya###ncle.net/forum/search.php?me#########################################
hu###once.net/forum/search.php?me#########################################
ha###nce.net/forum/search.php?me#########################################
mu###study.net/forum/search.php?me#########################################
mu###once.net/forum/search.php?me#########################################
we###ncle.net/forum/search.php?me#########################################
ya###nce.net/forum/search.php?me#########################################
ya###oss.net/forum/search.php?me#########################################
mu###loss.net/forum/search.php?me#########################################
mu###edge.net/forum/search.php?me#########################################
we###ray.net/forum/search.php?me#########################################
ya###dge.net/forum/search.php?me#########################################
ya###rmy.net/forum/search.php?me#########################################
mu###army.net/forum/search.php?me#########################################
sp###gray.net/forum/search.php?me#########################################
sp###army.net/forum/search.php?me#########################################
we###dge.net/forum/search.php?me#########################################
we###rmy.net/forum/search.php?me#########################################
we###pril.net/forum/search.php?me#########################################
sp###april.net/forum/search.php?me#########################################
mo###itio.com/forum/search.php?me#########################################
mo###uia.com/forum/search.php?me#########################################
ja###uter.com/forum/search.php?me#########################################
do####club-grup.com/forum/search.php?me#########################################
el#####arimagine.com/forum/search.php?me#########################################
vi###mojo.com/forum/search.php?me#########################################
ya###pril.net/forum/search.php?me#########################################
mu###april.net/forum/search.php?me#########################################
mu###gray.net/forum/search.php?me#########################################
ha###dge.net/forum/search.php?me#########################################
ya###ray.net/forum/search.php?me#########################################
sp###edge.net/forum/search.php?me#########################################
se####beredge.net/forum/search.php?me#########################################
jo###ray.net/forum/search.php?me#########################################
se####berarmy.net/forum/search.php?me#########################################
se####berapril.net/forum/search.php?me#########################################
ha###rmy.net/forum/search.php?me#########################################
wi###ray.net/forum/search.php?me#########################################
wi###rmy.net/forum/search.php?me#########################################
jo###dge.net/forum/search.php?me#########################################
jo###rmy.net/forum/search.php?me#########################################
jo###pril.net/forum/search.php?me#########################################
wi###pril.net/forum/search.php?me#########################################
of###april.net/forum/search.php?me#########################################
fr###army.net/forum/search.php?me#########################################
fr###april.net/forum/search.php?me#########################################
fr###gray.net/forum/search.php?me#########################################
of###gray.net/forum/search.php?me#########################################
of###army.net/forum/search.php?me#########################################
se####bergray.net/forum/search.php?me#########################################
ha###pril.net/forum/search.php?me#########################################
ha###ray.net/forum/search.php?me#########################################
fr###edge.net/forum/search.php?me#########################################
of###edge.net/forum/search.php?me#########################################

UDP:

DNS ASK wr###army.net
DNS ASK ma###rmy.net
DNS ASK ma###pril.net
DNS ASK ma###ray.net
DNS ASK wr###april.net
DNS ASK wr###edge.net
DNS ASK hu###study.net
DNS ASK ha###tudy.net
DNS ASK ha###ncle.net
DNS ASK ma###dge.net
DNS ASK hu###uncle.net
DNS ASK ro###ray.net
DNS ASK de###pril.net
DNS ASK de###ray.net
DNS ASK of###study.net
DNS ASK wi###dge.net
DNS ASK ro###pril.net
DNS ASK ro###dge.net
DNS ASK wr###gray.net
DNS ASK de###dge.net
DNS ASK de###rmy.net
DNS ASK ro###rmy.net
DNS ASK hu###loss.net
DNS ASK sp###study.net
DNS ASK we###oss.net
DNS ASK we###tudy.net
DNS ASK we###ncle.net
DNS ASK sp###uncle.net
DNS ASK sp###loss.net
DNS ASK of###uncle.net
DNS ASK fr###study.net
DNS ASK fr###uncle.net
DNS ASK we###nce.net
DNS ASK sp###once.net
DNS ASK ya###ncle.net
DNS ASK mu###uncle.net
DNS ASK ha###nce.net
DNS ASK ha###oss.net
DNS ASK hu###once.net
DNS ASK ya###tudy.net
DNS ASK ya###nce.net
DNS ASK mu###once.net
DNS ASK mu###loss.net
DNS ASK mu###study.net
DNS ASK ya###oss.net
DNS ASK ya###dge.net
DNS ASK mu###edge.net
DNS ASK mu###army.net
DNS ASK mu###april.net
DNS ASK ya###rmy.net
DNS ASK we###ray.net
DNS ASK we###rmy.net
DNS ASK sp###army.net
DNS ASK sp###april.net
DNS ASK sp###gray.net
DNS ASK we###pril.net
DNS ASK ja###uter.com
DNS ASK mo###itio.com
DNS ASK el#####arimagine.com
DNS ASK jo###dge.net
DNS ASK do####club-grup.com
DNS ASK mo###uia.com
DNS ASK mu###gray.net
DNS ASK ya###pril.net
DNS ASK ya###ray.net
DNS ASK vi###mojo.com
DNS ASK ha###dge.net
DNS ASK we###dge.net
DNS ASK se####berarmy.net
DNS ASK se####beredge.net
DNS ASK ha###rmy.net
DNS ASK ha###pril.net
DNS ASK se####berapril.net
DNS ASK jo###ray.net
DNS ASK jo###rmy.net
DNS ASK wi###rmy.net
DNS ASK wi###pril.net
DNS ASK wi###ray.net
DNS ASK jo###pril.net
DNS ASK fr###april.net
DNS ASK of###april.net
DNS ASK of###gray.net
DNS ASK sp###edge.net
DNS ASK fr###gray.net
DNS ASK fr###army.net
DNS ASK ha###ray.net
DNS ASK se####bergray.net
DNS ASK of###edge.net
DNS ASK of###army.net
DNS ASK fr###edge.net
'23#.#55.255.250':1900

技术

术语

教育培训

误区

Technical Information