Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Center System Tracking Foundation' = '%APPDATA%\nfdyklj\sjfhiumuk.exe'
Malicious functions:
Executes the following:
- '%APPDATA%\nfdyklj\pqvagfyhy.exe' "%APPDATA%\nfdyklj\sjfhiumuk.exe"
- '%APPDATA%\nfdyklj\sjfhiumuk.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\nfdyklj\sjfhiumuk.bltbd
- %APPDATA%\nfdyklj\pqvagfyhy.exe
- %APPDATA%\nfdyklj\sjfhiumuk.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\nfdyklj\sjfhiumuk.exe
Network activity:
Connects to:
- 're####eenough.net':80
- 'or###govern.net':80
- 'or###enough.net':80
- 'or###needle.net':80
- 're####eneedle.net':80
- 'le####needle.net':80
- 'he####needle.net':80
- 'he####nature.net':80
- 're####egovern.net':80
- 'le####nature.net':80
- 'ne####aryneedle.net':80
- 'pl####ntenough.net':80
- 'pl####ntneedle.net':80
- 'pl####ntnature.net':80
- 'ne####arynature.net':80
- 'or###nature.net':80
- 're####enature.net':80
- 'ne####arygovern.net':80
- 'ne####aryenough.net':80
- 'pl####ntgovern.net':80
TCP:
HTTP GET requests:
- http://re####eenough.net/index.php?em##################################################################
- http://or###govern.net/index.php?em##################################################################
- http://or###enough.net/index.php?em##################################################################
- http://or###needle.net/index.php?em##################################################################
- http://re####eneedle.net/index.php?em##################################################################
- http://le####needle.net/index.php?em##################################################################
- http://he####needle.net/index.php?em##################################################################
- http://he####nature.net/index.php?em##################################################################
- http://re####egovern.net/index.php?em##################################################################
- http://le####nature.net/index.php?em##################################################################
- http://ne####aryneedle.net/index.php?em##################################################################
- http://pl####ntenough.net/index.php?em##################################################################
- http://pl####ntneedle.net/index.php?em##################################################################
- http://pl####ntnature.net/index.php?em##################################################################
- http://ne####arynature.net/index.php?em##################################################################
- http://or###nature.net/index.php?em##################################################################
- http://re####enature.net/index.php?em##################################################################
- http://ne####arygovern.net/index.php?em##################################################################
- http://ne####aryenough.net/index.php?em##################################################################
- http://pl####ntgovern.net/index.php?em##################################################################
UDP:
- DNS ASK or###govern.net
- DNS ASK re####egovern.net
- DNS ASK re####eenough.net
- DNS ASK re####eneedle.net
- DNS ASK or###enough.net
- DNS ASK he####needle.net
- DNS ASK le####enough.net
- DNS ASK le####needle.net
- DNS ASK le####nature.net
- DNS ASK he####nature.net
- DNS ASK or###needle.net
- DNS ASK ne####aryneedle.net
- DNS ASK pl####ntenough.net
- DNS ASK pl####ntneedle.net
- DNS ASK pl####ntnature.net
- DNS ASK ne####arynature.net
- DNS ASK or###nature.net
- DNS ASK re####enature.net
- DNS ASK ne####arygovern.net
- DNS ASK ne####aryenough.net
- DNS ASK pl####ntgovern.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
