Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Input Sharing Link Authentication VC Auto Smart' = '%APPDATA%\ssovhgamkyykavh\mabxwefsrrvd.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\ssovhgamkyykavh\oudujcy.exe' "%APPDATA%\ssovhgamkyykavh\mabxwefsrrvd.exe"
- '%APPDATA%\ssovhgamkyykavh\mabxwefsrrvd.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\ssovhgamkyykavh\mabxwefsrrvd.molu
- %APPDATA%\ssovhgamkyykavh\oudujcy.exe
- %APPDATA%\ssovhgamkyykavh\mabxwefsrrvd.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\ssovhgamkyykavh\mabxwefsrrvd.exe
Network activity:
Connects to:
- 'fe####station.net':80
- 'pr####childhood.net':80
- 'fe###wthird.net':80
- 'fe####object.net':80
- 'do###ethird.net':80
- 'do####childhood.net':80
- 'do###rthird.net':80
- 'pr####station.net':80
- 'pr###ythird.net':80
- 'pr####object.net':80
- 'do####object.net':80
- 'br####childhood.net':80
- 're####object.net':80
- 're####childhood.net':80
- 'de####station.net':80
- 'pr####estation.net':80
- 'br####object.net':80
- 'br####station.net':80
- 'fe####childhood.net':80
- 're####station.net':80
- 're###tthird.net':80
- 'br###nthird.net':80
- 'bu####ngthird.net':80
- 'ev####gstation.net':80
- 'ev####gthird.net':80
- 'ev####gobject.net':80
- 'bu####ngobject.net':80
- 'bu####ngstation.net':80
- 'mo####ntobject.net':80
- 'ou####ethird.net':80
- 'ou####eobject.net':80
- 'ou#####childhood.net':80
- 'mo#####tchildhood.net':80
- 'mi###object.net':80
- 'st###object.net':80
- 'st####hildhood.net':80
- 'do####station.net':80
- 'mi####hildhood.net':80
- 'mi###third.net':80
- 'ev#####childhood.net':80
- 'bu#####gchildhood.net':80
- 'st####tation.net':80
- 'st###third.net':80
- 'mi####tation.net':80
TCP:
HTTP GET requests:
- fe####station.net/index.php?em######################################
- pr####childhood.net/index.php?em######################################
- fe###wthird.net/index.php?em######################################
- fe####object.net/index.php?em######################################
- do###ethird.net/index.php?em######################################
- do####childhood.net/index.php?em######################################
- do###rthird.net/index.php?em######################################
- pr####station.net/index.php?em######################################
- pr###ythird.net/index.php?em######################################
- pr####object.net/index.php?em######################################
- do####object.net/index.php?em######################################
- br####childhood.net/index.php?em######################################
- re####object.net/index.php?em######################################
- re####childhood.net/index.php?em######################################
- de####station.net/index.php?em######################################
- pr####estation.net/index.php?em######################################
- br####object.net/index.php?em######################################
- br####station.net/index.php?em######################################
- fe####childhood.net/index.php?em######################################
- re####station.net/index.php?em######################################
- re###tthird.net/index.php?em######################################
- br###nthird.net/index.php?em######################################
- bu####ngthird.net/index.php?em######################################
- ev####gstation.net/index.php?em######################################
- ev####gthird.net/index.php?em######################################
- ev####gobject.net/index.php?em######################################
- bu####ngobject.net/index.php?em######################################
- bu####ngstation.net/index.php?em######################################
- mo####ntobject.net/index.php?em######################################
- ou####ethird.net/index.php?em######################################
- ou####eobject.net/index.php?em######################################
- ou#####childhood.net/index.php?em######################################
- mo#####tchildhood.net/index.php?em######################################
- mi###object.net/index.php?em######################################
- st###object.net/index.php?em######################################
- st####hildhood.net/index.php?em######################################
- do####station.net/index.php?em######################################
- mi####hildhood.net/index.php?em######################################
- mi###third.net/index.php?em######################################
- ev#####childhood.net/index.php?em######################################
- bu#####gchildhood.net/index.php?em######################################
- st####tation.net/index.php?em######################################
- st###third.net/index.php?em######################################
- mi####tation.net/index.php?em######################################
UDP:
- DNS ASK fe###wthird.net
- DNS ASK fe####station.net
- DNS ASK do###ethird.net
- DNS ASK fe####childhood.net
- DNS ASK fe####object.net
- DNS ASK pr####childhood.net
- DNS ASK pr###ythird.net
- DNS ASK do###rthird.net
- DNS ASK do####object.net
- DNS ASK do####childhood.net
- DNS ASK pr####object.net
- DNS ASK re####childhood.net
- DNS ASK br####childhood.net
- DNS ASK pr####estation.net
- DNS ASK pr####ethird.net
- DNS ASK de####station.net
- DNS ASK re####object.net
- DNS ASK re####station.net
- DNS ASK br####station.net
- DNS ASK br###nthird.net
- DNS ASK br####object.net
- DNS ASK re###tthird.net
- DNS ASK pr####station.net
- DNS ASK bu####ngthird.net
- DNS ASK ev####gstation.net
- DNS ASK ev####gthird.net
- DNS ASK ev####gobject.net
- DNS ASK bu####ngobject.net
- DNS ASK bu####ngstation.net
- DNS ASK mo####ntobject.net
- DNS ASK ou####ethird.net
- DNS ASK ou####eobject.net
- DNS ASK ou#####childhood.net
- DNS ASK mo#####tchildhood.net
- DNS ASK mi###object.net
- DNS ASK st###object.net
- DNS ASK st####hildhood.net
- DNS ASK do####station.net
- DNS ASK mi####hildhood.net
- DNS ASK mi###third.net
- DNS ASK ev#####childhood.net
- DNS ASK bu#####gchildhood.net
- DNS ASK st####tation.net
- DNS ASK st###third.net
- DNS ASK mi####tation.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
