Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Panel Sharing Now Filtering Manager Color' = '%APPDATA%\nlhmypi\blowhgvkt.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\nlhmypi\boscpgu.exe' "%APPDATA%\nlhmypi\blowhgvkt.exe"
- '%APPDATA%\nlhmypi\blowhgvkt.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\nlhmypi\blowhgvkt.zrpb
- %APPDATA%\nlhmypi\boscpgu.exe
- %APPDATA%\nlhmypi\blowhgvkt.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\nlhmypi\blowhgvkt.exe
Network activity:
Connects to:
- 'ef####famous.net':80
- 'th####hcentury.net':80
- 'th####hfamous.net':80
- 'th####hpower.net':80
- 'ef###tpower.net':80
- 'ef####century.net':80
- 'wi###npower.net':80
- 'su####famous.net':80
- 'su###rpower.net':80
- 'su####country.net':80
- 'wi####country.net':80
- 'in####sepower.net':80
- 'fo###tpower.net':80
- 'fo####country.net':80
- 'wo####entury.net':80
- 'in####secountry.net':80
- 'in####sefamous.net':80
- 'th####hcountry.net':80
- 'ef####country.net':80
- 'fo####century.net':80
- 'fo####famous.net':80
- 'in####secentury.net':80
- 'ri###npower.net':80
- 'be####famous.net':80
- 'be###gpower.net':80
- 'be####country.net':80
- 'ri####country.net':80
- 'ri####famous.net':80
- 'de####ycountry.net':80
- 'li###epower.net':80
- 'li####country.net':80
- 'be####century.net':80
- 'ri####century.net':80
- 'th####ountry.net':80
- 'ch####ountry.net':80
- 'wi####century.net':80
- 'wi####famous.net':80
- 'su####century.net':80
- 'th###power.net':80
- 'th####entury.net':80
- 'ch####entury.net':80
- 'ch###famous.net':80
- 'ch###power.net':80
- 'th###famous.net':80
TCP:
HTTP GET requests:
- ef####famous.net/index.php?em#######################################
- th####hcentury.net/index.php?em#######################################
- th####hfamous.net/index.php?em#######################################
- th####hpower.net/index.php?em#######################################
- ef###tpower.net/index.php?em#######################################
- ef####century.net/index.php?em#######################################
- wi###npower.net/index.php?em#######################################
- su####famous.net/index.php?em#######################################
- su###rpower.net/index.php?em#######################################
- su####country.net/index.php?em#######################################
- wi####country.net/index.php?em#######################################
- in####sepower.net/index.php?em#######################################
- fo###tpower.net/index.php?em#######################################
- fo####country.net/index.php?em#######################################
- wo####entury.net/index.php?em#######################################
- in####secountry.net/index.php?em#######################################
- in####sefamous.net/index.php?em#######################################
- th####hcountry.net/index.php?em#######################################
- ef####country.net/index.php?em#######################################
- fo####century.net/index.php?em#######################################
- fo####famous.net/index.php?em#######################################
- in####secentury.net/index.php?em#######################################
- ri###npower.net/index.php?em#######################################
- be####famous.net/index.php?em#######################################
- be###gpower.net/index.php?em#######################################
- be####country.net/index.php?em#######################################
- ri####country.net/index.php?em#######################################
- ri####famous.net/index.php?em#######################################
- de####ycountry.net/index.php?em#######################################
- li###epower.net/index.php?em#######################################
- li####country.net/index.php?em#######################################
- be####century.net/index.php?em#######################################
- ri####century.net/index.php?em#######################################
- th####ountry.net/index.php?em#######################################
- ch####ountry.net/index.php?em#######################################
- wi####century.net/index.php?em#######################################
- wi####famous.net/index.php?em#######################################
- su####century.net/index.php?em#######################################
- th###power.net/index.php?em#######################################
- th####entury.net/index.php?em#######################################
- ch####entury.net/index.php?em#######################################
- ch###famous.net/index.php?em#######################################
- ch###power.net/index.php?em#######################################
- th###famous.net/index.php?em#######################################
UDP:
- DNS ASK ef####famous.net
- DNS ASK th####hcentury.net
- DNS ASK th####hfamous.net
- DNS ASK th####hpower.net
- DNS ASK ef###tpower.net
- DNS ASK ef####century.net
- DNS ASK wi###npower.net
- DNS ASK su####famous.net
- DNS ASK su###rpower.net
- DNS ASK su####country.net
- DNS ASK wi####country.net
- DNS ASK in####sepower.net
- DNS ASK fo###tpower.net
- DNS ASK fo####country.net
- DNS ASK wo####entury.net
- DNS ASK in####secountry.net
- DNS ASK in####sefamous.net
- DNS ASK th####hcountry.net
- DNS ASK ef####country.net
- DNS ASK fo####century.net
- DNS ASK fo####famous.net
- DNS ASK in####secentury.net
- DNS ASK ri###npower.net
- DNS ASK be####famous.net
- DNS ASK be###gpower.net
- DNS ASK be####country.net
- DNS ASK ri####country.net
- DNS ASK ri####famous.net
- DNS ASK de####ycountry.net
- DNS ASK li###epower.net
- DNS ASK li####country.net
- DNS ASK be####century.net
- DNS ASK ri####century.net
- DNS ASK th####ountry.net
- DNS ASK ch####ountry.net
- DNS ASK wi####century.net
- DNS ASK wi####famous.net
- DNS ASK su####century.net
- DNS ASK th###power.net
- DNS ASK th####entury.net
- DNS ASK ch####entury.net
- DNS ASK ch###famous.net
- DNS ASK ch###power.net
- DNS ASK th###famous.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
