Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Connect Secondary Power Configuration' = '<SYSTEM32>\mmirkmxyzioz.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\TP Locator Protocol Plug Font] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\mwkvcytkz.exe' "<SYSTEM32>\mmirkmxyzioz.exe"
- '%WINDIR%\Temp\tzshtrrc2wpytfj.exe' -r 31605 tcp
- '%TEMP%\tzshtrrc2suntfjkz3suw.exe'
- '<SYSTEM32>\mmirkmxyzioz.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\ufmjmsiwkcomnvk\run
- <SYSTEM32>\ufmjmsiwkcomnvk\rng
- %WINDIR%\Temp\tzshtrrc2wpytfj.exe
- <SYSTEM32>\ufmjmsiwkcomnvk\cfg
- <SYSTEM32>\mwkvcytkz.exe
- %TEMP%\tzshtrrc2suntfjkz3suw.exe
- <SYSTEM32>\ufmjmsiwkcomnvk\tst
- <SYSTEM32>\mmirkmxyzioz.exe
- <SYSTEM32>\ufmjmsiwkcomnvk\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\mwkvcytkz.exe
- <SYSTEM32>\mmirkmxyzioz.exe
Deletes the following files:
- %WINDIR%\Temp\tzshtrrc2wpytfj.exe
- %TEMP%\tzshtrrc2suntfjkz3suw.exe
- <DRIVERS>\etc\hosts
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'ro###loth.net':80
- 'si###loth.net':80
- 'so###orn.net':80
- 'so###ugust.net':80
- 'pi###orn.net':80
- 'ro###aid.net':80
- 'ro###orn.net':80
- 'si###orn.net':80
- 'si###ugust.net':80
- 'si###aid.net':80
- 'ro###ugust.net':80
- 'pi###ugust.net':80
- 'kn###ugust.net':80
- 'ab###ugust.net':80
- 'ab###aid.net':80
- 'ab###loth.net':80
- 'kn###aid.net':80
- 'kn###orn.net':80
- 'pi###aid.net':80
- 'so###aid.net':80
- 'so###loth.net':80
- 'ab###orn.net':80
- 'pi###loth.net':80
- 'mo###loth.net':80
- 'fe###loth.net':80
- 'lo###loth.net':80
- 'wh###orn.net':80
- 'wh###ugust.net':80
- 'hi###orn.net':80
- 'fe###aid.net':80
- 'fe###orn.net':80
- 'lo###orn.net':80
- 'lo###ugust.net':80
- 'lo###aid.net':80
- 'fe###ugust.net':80
- 'hi###ugust.net':80
- 'mo###ugust.net':80
- 'ju###ugust.net':80
- 'ju###aid.net':80
- 'ju###loth.net':80
- 'mo###aid.net':80
- 'mo###orn.net':80
- 'hi###aid.net':80
- 'wh###aid.net':80
- 'wh###loth.net':80
- 'ju###orn.net':80
- 'hi###loth.net':80
- 'kn###loth.net':80
- 'qu###wing.net':80
- 'th###ing.net':80
- 'he###ish.net':80
- 'he###ady.net':80
- 'ca###ish.net':80
- 'qu###past.net':80
- 'qu###fish.net':80
- 'th###ish.net':80
- 'th###ady.net':80
- 'th###ast.net':80
- 'qu###lady.net':80
- 'ca###ady.net':80
- 're####eneither.net':80
- 'ge####friend.net':80
- 'mi####lossary.net':80
- 'st###march.net':80
- 'ta###fruit.net':80
- 'gl###health.net':80
- 'th####hcountry.net':80
- 'he###ast.net':80
- 'li####appear.net':80
- 'ne####arydress.net':80
- 're####erpaint.net':80
- 'su###ywing.net':80
- 'cl###wing.net':80
- 'da###ing.net':80
- 'si###ish.net':80
- 'si###ady.net':80
- 'me###ish.net':80
- 'cl###past.net':80
- 'cl###fish.net':80
- 'da###ish.net':80
- 'da###ady.net':80
- 'da###ast.net':80
- 'cl###lady.net':80
- 'me###ady.net':80
- 'su###ylady.net':80
- 'mo###ady.net':80
- 'mo###ast.net':80
- 'mo###ing.net':80
- 'su###ypast.net':80
- 'su###yfish.net':80
- 'me###ast.net':80
- 'si###ast.net':80
- 'si###ing.net':80
- 'mo###ish.net':80
- 'me###ing.net':80
TCP:
HTTP GET requests:
- http://ro###loth.net/forum/search.php?me#########################################
- http://si###loth.net/forum/search.php?me#########################################
- http://so###orn.net/forum/search.php?me#########################################
- http://so###ugust.net/forum/search.php?me#########################################
- http://pi###orn.net/forum/search.php?me#########################################
- http://ro###aid.net/forum/search.php?me#########################################
- http://ro###orn.net/forum/search.php?me#########################################
- http://si###orn.net/forum/search.php?me#########################################
- http://si###ugust.net/forum/search.php?me#########################################
- http://si###aid.net/forum/search.php?me#########################################
- http://ro###ugust.net/forum/search.php?me#########################################
- http://pi###ugust.net/forum/search.php?me#########################################
- http://kn###ugust.net/forum/search.php?me#########################################
- http://ab###ugust.net/forum/search.php?me#########################################
- http://ab###aid.net/forum/search.php?me#########################################
- http://ab###loth.net/forum/search.php?me#########################################
- http://kn###aid.net/forum/search.php?me#########################################
- http://kn###orn.net/forum/search.php?me#########################################
- http://pi###aid.net/forum/search.php?me#########################################
- http://so###aid.net/forum/search.php?me#########################################
- http://so###loth.net/forum/search.php?me#########################################
- http://ab###orn.net/forum/search.php?me#########################################
- http://pi###loth.net/forum/search.php?me#########################################
- http://mo###loth.net/forum/search.php?me#########################################
- http://fe###loth.net/forum/search.php?me#########################################
- http://lo###loth.net/forum/search.php?me#########################################
- http://wh###orn.net/forum/search.php?me#########################################
- http://wh###ugust.net/forum/search.php?me#########################################
- http://hi###orn.net/forum/search.php?me#########################################
- http://fe###aid.net/forum/search.php?me#########################################
- http://fe###orn.net/forum/search.php?me#########################################
- http://lo###orn.net/forum/search.php?me#########################################
- http://lo###ugust.net/forum/search.php?me#########################################
- http://lo###aid.net/forum/search.php?me#########################################
- http://fe###ugust.net/forum/search.php?me#########################################
- http://hi###ugust.net/forum/search.php?me#########################################
- http://mo###ugust.net/forum/search.php?me#########################################
- http://ju###ugust.net/forum/search.php?me#########################################
- http://ju###aid.net/forum/search.php?me#########################################
- http://ju###loth.net/forum/search.php?me#########################################
- http://mo###aid.net/forum/search.php?me#########################################
- http://mo###orn.net/forum/search.php?me#########################################
- http://hi###aid.net/forum/search.php?me#########################################
- http://wh###aid.net/forum/search.php?me#########################################
- http://wh###loth.net/forum/search.php?me#########################################
- http://ju###orn.net/forum/search.php?me#########################################
- http://hi###loth.net/forum/search.php?me#########################################
- http://kn###loth.net/forum/search.php?me#########################################
- http://qu###wing.net/forum/search.php?me#########################################
- http://th###ing.net/forum/search.php?me#########################################
- http://he###ish.net/forum/search.php?me#########################################
- http://he###ady.net/forum/search.php?me#########################################
- http://ca###ish.net/forum/search.php?me#########################################
- http://qu###past.net/forum/search.php?me#########################################
- http://qu###fish.net/forum/search.php?me#########################################
- http://th###ish.net/forum/search.php?me#########################################
- http://th###ady.net/forum/search.php?me#########################################
- http://th###ast.net/forum/search.php?me#########################################
- http://qu###lady.net/forum/search.php?me#########################################
- http://ca###ady.net/forum/search.php?me#########################################
- http://re####eneither.net/forum/search.php?me#########################################
- http://ge####friend.net/forum/search.php?me#########################################
- http://mi####lossary.net/forum/search.php?me#########################################
- http://st###march.net/forum/search.php?me#########################################
- http://ta###fruit.net/forum/search.php?me#########################################
- http://gl###health.net/forum/search.php?me#########################################
- http://th####hcountry.net/forum/search.php?me#########################################
- http://he###ast.net/forum/search.php?me#########################################
- http://li####appear.net/forum/search.php?me#########################################
- http://ne####arydress.net/forum/search.php?me#########################################
- http://re####erpaint.net/forum/search.php?me#########################################
- http://su###ywing.net/forum/search.php?me#########################################
- http://cl###wing.net/forum/search.php?me#########################################
- http://da###ing.net/forum/search.php?me#########################################
- http://si###ish.net/forum/search.php?me#########################################
- http://si###ady.net/forum/search.php?me#########################################
- http://me###ish.net/forum/search.php?me#########################################
- http://cl###past.net/forum/search.php?me#########################################
- http://cl###fish.net/forum/search.php?me#########################################
- http://da###ish.net/forum/search.php?me#########################################
- http://da###ady.net/forum/search.php?me#########################################
- http://da###ast.net/forum/search.php?me#########################################
- http://cl###lady.net/forum/search.php?me#########################################
- http://me###ady.net/forum/search.php?me#########################################
- http://su###ylady.net/forum/search.php?me#########################################
- http://mo###ady.net/forum/search.php?me#########################################
- http://mo###ast.net/forum/search.php?me#########################################
- http://mo###ing.net/forum/search.php?me#########################################
- http://su###ypast.net/forum/search.php?me#########################################
- http://su###yfish.net/forum/search.php?me#########################################
- http://me###ast.net/forum/search.php?me#########################################
- http://si###ast.net/forum/search.php?me#########################################
- http://si###ing.net/forum/search.php?me#########################################
- http://mo###ish.net/forum/search.php?me#########################################
- http://me###ing.net/forum/search.php?me#########################################
UDP:
- DNS ASK so###orn.net
- DNS ASK ro###loth.net
- DNS ASK si###loth.net
- DNS ASK pi###ugust.net
- DNS ASK so###ugust.net
- DNS ASK pi###orn.net
- DNS ASK si###ugust.net
- DNS ASK ro###orn.net
- DNS ASK si###orn.net
- DNS ASK ro###aid.net
- DNS ASK si###aid.net
- DNS ASK ro###ugust.net
- DNS ASK ab###aid.net
- DNS ASK kn###ugust.net
- DNS ASK ab###ugust.net
- DNS ASK kn###loth.net
- DNS ASK ab###loth.net
- DNS ASK kn###aid.net
- DNS ASK so###loth.net
- DNS ASK pi###aid.net
- DNS ASK so###aid.net
- DNS ASK kn###orn.net
- DNS ASK ab###orn.net
- DNS ASK pi###loth.net
- DNS ASK wh###orn.net
- DNS ASK fe###loth.net
- DNS ASK lo###loth.net
- DNS ASK hi###ugust.net
- DNS ASK wh###ugust.net
- DNS ASK hi###orn.net
- DNS ASK lo###ugust.net
- DNS ASK fe###orn.net
- DNS ASK lo###orn.net
- DNS ASK fe###aid.net
- DNS ASK lo###aid.net
- DNS ASK fe###ugust.net
- DNS ASK ju###aid.net
- DNS ASK mo###ugust.net
- DNS ASK ju###ugust.net
- DNS ASK mo###loth.net
- DNS ASK ju###loth.net
- DNS ASK mo###aid.net
- DNS ASK wh###loth.net
- DNS ASK hi###aid.net
- DNS ASK wh###aid.net
- DNS ASK mo###orn.net
- DNS ASK ju###orn.net
- DNS ASK hi###loth.net
- DNS ASK qu###wing.net
- DNS ASK th###ing.net
- DNS ASK he###ish.net
- DNS ASK he###ady.net
- DNS ASK ca###ish.net
- DNS ASK qu###past.net
- DNS ASK qu###fish.net
- DNS ASK th###ish.net
- DNS ASK th###ady.net
- DNS ASK th###ast.net
- DNS ASK qu###lady.net
- DNS ASK ca###ady.net
- DNS ASK re####eneither.net
- DNS ASK ge####friend.net
- DNS ASK mi####lossary.net
- DNS ASK st###march.net
- DNS ASK ta###fruit.net
- DNS ASK gl###health.net
- DNS ASK th####hcountry.net
- DNS ASK he###ast.net
- DNS ASK li####appear.net
- DNS ASK ne####arydress.net
- DNS ASK re####erpaint.net
- DNS ASK su###ywing.net
- DNS ASK cl###wing.net
- DNS ASK da###ing.net
- DNS ASK si###ish.net
- DNS ASK si###ady.net
- DNS ASK me###ish.net
- DNS ASK cl###past.net
- DNS ASK cl###fish.net
- DNS ASK da###ish.net
- DNS ASK da###ady.net
- DNS ASK da###ast.net
- DNS ASK cl###lady.net
- DNS ASK me###ady.net
- DNS ASK su###ylady.net
- DNS ASK mo###ady.net
- DNS ASK mo###ast.net
- DNS ASK mo###ing.net
- DNS ASK su###ypast.net
- DNS ASK su###yfish.net
- DNS ASK me###ast.net
- DNS ASK si###ast.net
- DNS ASK si###ing.net
- DNS ASK mo###ish.net
- DNS ASK me###ing.net
- '23#.#55.255.250':1900
