Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WWAN Encryption Modules Network' = '%APPDATA%\uphebnn\hksdczqyexyf.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\uphebnn\degczhmtj.exe' "%APPDATA%\uphebnn\hksdczqyexyf.exe"
- '%APPDATA%\uphebnn\hksdczqyexyf.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\uphebnn\hksdczqyexyf.sxlpz
- %APPDATA%\uphebnn\degczhmtj.exe
- %APPDATA%\uphebnn\hksdczqyexyf.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\uphebnn\hksdczqyexyf.exe
Network activity:
Connects to:
- 'be####likely.net':80
- 'ga####glossary.net':80
- 'ga####likely.net':80
- 'ga###rworth.net':80
- 'be###rworth.net':80
- 'tr###worth.net':80
- 'st###tworth.net':80
- 'be###rround.net':80
- 'be####glossary.net':80
- 'ga###rround.net':80
- 'fl###worth.net':80
- 'br###likely.net':80
- 'br###worth.net':80
- 'se###nround.net':80
- 'qu###round.net':80
- 'br###round.net':80
- 'fl###round.net':80
- 'fl####lossary.net':80
- 'fl###likely.net':80
- 'br####lossary.net':80
- 'tr###likely.net':80
- 'ca####nworth.net':80
- 'la###worth.net':80
- 're###dround.net':80
- 're####glossary.net':80
- 'el####icround.net':80
- 'la####lossary.net':80
- 'ca####nround.net':80
- 'ca####nglossary.net':80
- 'ca####nlikely.net':80
- 'la###likely.net':80
- 'tr###round.net':80
- 'st###tround.net':80
- 'st####glossary.net':80
- 'st####likely.net':80
- 'tr####lossary.net':80
- 're####likely.net':80
- 'el#####cglossary.net':80
- 'el####iclikely.net':80
- 'el####icworth.net':80
- 're###dworth.net':80
TCP:
HTTP GET requests:
- http://be####likely.net/index.php?em#######################################
- http://ga####glossary.net/index.php?em#######################################
- http://ga####likely.net/index.php?em#######################################
- http://ga###rworth.net/index.php?em#######################################
- http://be###rworth.net/index.php?em#######################################
- http://tr###worth.net/index.php?em#######################################
- http://st###tworth.net/index.php?em#######################################
- http://be###rround.net/index.php?em#######################################
- http://be####glossary.net/index.php?em#######################################
- http://ga###rround.net/index.php?em#######################################
- http://fl###worth.net/index.php?em#######################################
- http://br###likely.net/index.php?em#######################################
- http://br###worth.net/index.php?em#######################################
- http://se###nround.net/index.php?em#######################################
- http://qu###round.net/index.php?em#######################################
- http://br###round.net/index.php?em#######################################
- http://fl###round.net/index.php?em#######################################
- http://fl####lossary.net/index.php?em#######################################
- http://fl###likely.net/index.php?em#######################################
- http://br####lossary.net/index.php?em#######################################
- http://tr###likely.net/index.php?em#######################################
- http://ca####nworth.net/index.php?em#######################################
- http://la###worth.net/index.php?em#######################################
- http://re###dround.net/index.php?em#######################################
- http://re####glossary.net/index.php?em#######################################
- http://el####icround.net/index.php?em#######################################
- http://la####lossary.net/index.php?em#######################################
- http://ca####nround.net/index.php?em#######################################
- http://ca####nglossary.net/index.php?em#######################################
- http://ca####nlikely.net/index.php?em#######################################
- http://la###likely.net/index.php?em#######################################
- http://tr###round.net/index.php?em#######################################
- http://st###tround.net/index.php?em#######################################
- http://st####glossary.net/index.php?em#######################################
- http://st####likely.net/index.php?em#######################################
- http://tr####lossary.net/index.php?em#######################################
- http://re####likely.net/index.php?em#######################################
- http://el#####cglossary.net/index.php?em#######################################
- http://el####iclikely.net/index.php?em#######################################
- http://el####icworth.net/index.php?em#######################################
- http://re###dworth.net/index.php?em#######################################
UDP:
- DNS ASK be####likely.net
- DNS ASK ga####glossary.net
- DNS ASK ga####likely.net
- DNS ASK ga###rworth.net
- DNS ASK be###rworth.net
- DNS ASK tr###worth.net
- DNS ASK st###tworth.net
- DNS ASK be###rround.net
- DNS ASK be####glossary.net
- DNS ASK ga###rround.net
- DNS ASK fl###round.net
- DNS ASK br###worth.net
- DNS ASK fl###worth.net
- DNS ASK qu###round.net
- DNS ASK qu####lossary.net
- DNS ASK se###nround.net
- DNS ASK fl####lossary.net
- DNS ASK br###round.net
- DNS ASK br####lossary.net
- DNS ASK br###likely.net
- DNS ASK fl###likely.net
- DNS ASK ca####nworth.net
- DNS ASK la###worth.net
- DNS ASK re###dround.net
- DNS ASK re####glossary.net
- DNS ASK el####icround.net
- DNS ASK la####lossary.net
- DNS ASK ca####nround.net
- DNS ASK ca####nglossary.net
- DNS ASK ca####nlikely.net
- DNS ASK la###likely.net
- DNS ASK el#####cglossary.net
- DNS ASK st####glossary.net
- DNS ASK tr###round.net
- DNS ASK tr####lossary.net
- DNS ASK tr###likely.net
- DNS ASK st####likely.net
- DNS ASK el####iclikely.net
- DNS ASK re####likely.net
- DNS ASK re###dworth.net
- DNS ASK st###tround.net
- DNS ASK el####icworth.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
