Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Internet Detection Group IKE' = '%APPDATA%\phnumghxrbci\mlkufrztxsu.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\phnumghxrbci\cmaffbynbylr.exe' "%APPDATA%\phnumghxrbci\mlkufrztxsu.exe"
- '%APPDATA%\phnumghxrbci\mlkufrztxsu.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Modifies file system :
Creates the following files:
- %APPDATA%\phnumghxrbci\mlkufrztxsu.w1y
- %APPDATA%\phnumghxrbci\cmaffbynbylr.exe
- %APPDATA%\phnumghxrbci\mlkufrztxsu.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\phnumghxrbci\mlkufrztxsu.exe
Network activity:
Connects to:
- 'po####lebuilt.net':80
- 'mo####inbuilt.net':80
- 'mo####incarry.net':80
- 'pe####sfather.net':80
- 'po####lecarry.net':80
- 'mo####infather.net':80
- 'mo###rcarry.net':80
- 'po####lefather.net':80
- 'po####leapple.net':80
- 'mo####inapple.net':80
- 'wi####father.net':80
- 'su####tfather.net':80
- 'wi###wcarry.net':80
- 'wi###rapple.net':80
- 'wi###rbuilt.net':80
- 'su####tapple.net':80
- 'wi###wapple.net':80
- 'pe####sapple.net':80
- 'pe####sbuilt.net':80
- 'pe####scarry.net':80
- 'wi###wbuilt.net':80
- 'se####father.net':80
- 'ma####alcontrol.net':80
- 'la###father.net':80
- 'la###apple.net':80
- 'se###aapple.net':80
- 'ma####alspent.net':80
- 'se####lspent.net':80
- 'se####ltogether.net':80
- 'se####lcontrol.net':80
- 'ma#####ltogether.net':80
- 'se###abuilt.net':80
- 'mo###rapple.net':80
- 'si###eapple.net':80
- 'si###ebuilt.net':80
- 'si###ecarry.net':80
- 'mo###rbuilt.net':80
- 'se###acarry.net':80
- 'la###built.net':80
- 'la###carry.net':80
- 'mo####father.net':80
- 'si####father.net':80
TCP:
HTTP GET requests:
- po####lebuilt.net/index.php?em##############################################
- mo####inbuilt.net/index.php?em##############################################
- mo####incarry.net/index.php?em##############################################
- pe####sfather.net/index.php?em##############################################
- po####lecarry.net/index.php?em##############################################
- mo####infather.net/index.php?em##############################################
- mo###rcarry.net/index.php?em##############################################
- po####lefather.net/index.php?em##############################################
- po####leapple.net/index.php?em##############################################
- mo####inapple.net/index.php?em##############################################
- wi####father.net/index.php?em##############################################
- su####tfather.net/index.php?em##############################################
- wi###wcarry.net/index.php?em##############################################
- wi###rapple.net/index.php?em##############################################
- wi###rbuilt.net/index.php?em##############################################
- su####tapple.net/index.php?em##############################################
- wi###wapple.net/index.php?em##############################################
- pe####sapple.net/index.php?em##############################################
- pe####sbuilt.net/index.php?em##############################################
- pe####scarry.net/index.php?em##############################################
- wi###wbuilt.net/index.php?em##############################################
- se####father.net/index.php?em##############################################
- ma####alcontrol.net/index.php?em##############################################
- la###father.net/index.php?em##############################################
- la###apple.net/index.php?em##############################################
- se###aapple.net/index.php?em##############################################
- ma####alspent.net/index.php?em##############################################
- se####lspent.net/index.php?em##############################################
- se####ltogether.net/index.php?em##############################################
- se####lcontrol.net/index.php?em##############################################
- ma#####ltogether.net/index.php?em##############################################
- se###abuilt.net/index.php?em##############################################
- mo###rapple.net/index.php?em##############################################
- si###eapple.net/index.php?em##############################################
- si###ebuilt.net/index.php?em##############################################
- si###ecarry.net/index.php?em##############################################
- mo###rbuilt.net/index.php?em##############################################
- se###acarry.net/index.php?em##############################################
- la###built.net/index.php?em##############################################
- la###carry.net/index.php?em##############################################
- mo####father.net/index.php?em##############################################
- si####father.net/index.php?em##############################################
UDP:
- DNS ASK mo####incarry.net
- DNS ASK po####lebuilt.net
- DNS ASK po####lecarry.net
- DNS ASK wi####father.net
- DNS ASK pe####sfather.net
- DNS ASK po####lefather.net
- DNS ASK mo####infather.net
- DNS ASK mo####inapple.net
- DNS ASK mo####inbuilt.net
- DNS ASK po####leapple.net
- DNS ASK pe####sapple.net
- DNS ASK wi###rapple.net
- DNS ASK su####tfather.net
- DNS ASK su####tapple.net
- DNS ASK su####tbuilt.net
- DNS ASK wi###rbuilt.net
- DNS ASK pe####sbuilt.net
- DNS ASK wi###wapple.net
- DNS ASK wi###wbuilt.net
- DNS ASK wi###wcarry.net
- DNS ASK pe####scarry.net
- DNS ASK mo###rcarry.net
- DNS ASK se####father.net
- DNS ASK ma####alcontrol.net
- DNS ASK la###father.net
- DNS ASK la###apple.net
- DNS ASK se###aapple.net
- DNS ASK ma####alspent.net
- DNS ASK se####lspent.net
- DNS ASK se####ltogether.net
- DNS ASK se####lcontrol.net
- DNS ASK ma#####ltogether.net
- DNS ASK se###abuilt.net
- DNS ASK mo###rapple.net
- DNS ASK si###eapple.net
- DNS ASK si###ebuilt.net
- DNS ASK si###ecarry.net
- DNS ASK mo###rbuilt.net
- DNS ASK se###acarry.net
- DNS ASK la###built.net
- DNS ASK la###carry.net
- DNS ASK mo####father.net
- DNS ASK si####father.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
