Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Information Cache Policy Protocol' = '%APPDATA%\avixgllpfe\itttreybii.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\avixgllpfe\jrjzlsqzbiej.exe' "%APPDATA%\avixgllpfe\itttreybii.exe"
- '%APPDATA%\avixgllpfe\itttreybii.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\avixgllpfe\itttreybii.dhmj6
- %APPDATA%\avixgllpfe\jrjzlsqzbiej.exe
- %APPDATA%\avixgllpfe\itttreybii.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\avixgllpfe\jrjzlsqzbiej.exe
- %APPDATA%\avixgllpfe\itttreybii.exe
Network activity:
Connects to:
- 'be###gspace.net':80
- 'ri####travel.net':80
- 'be####travel.net':80
- 'ri###nspace.net':80
- 'li####yellow.net':80
- 'de####yclose.net':80
- 'li###eclose.net':80
- 'ri####yellow.net':80
- 'th###space.net':80
- 'ch###travel.net':80
- 'th###travel.net':80
- 'ch###space.net':80
- 'be####yellow.net':80
- 'ri###nclose.net':80
- 'be###gclose.net':80
- 'de####yyellow.net':80
- 'hu####dspace.net':80
- 'jo####ytravel.net':80
- 'hu####dtravel.net':80
- 'jo####yspace.net':80
- 're####erobject.net':80
- 'wo####hildhood.net':80
- 're#####rchildhood.net':80
- 'jo####yyellow.net':80
- 'li###espace.net':80
- 'de####ytravel.net':80
- 'li####travel.net':80
- 'de####yspace.net':80
- 'hu####dyellow.net':80
- 'jo####yclose.net':80
- 'hu####dclose.net':80
TCP:
HTTP GET requests:
- http://be###gspace.net/forum/search.php?em###########################################
- http://ri####travel.net/forum/search.php?em###########################################
- http://be####travel.net/forum/search.php?em###########################################
- http://ri###nspace.net/forum/search.php?em###########################################
- http://li####yellow.net/forum/search.php?em###########################################
- http://de####yclose.net/forum/search.php?em###########################################
- http://li###eclose.net/forum/search.php?em###########################################
- http://ri####yellow.net/forum/search.php?em###########################################
- http://th###space.net/forum/search.php?em###########################################
- http://ch###travel.net/forum/search.php?em###########################################
- http://th###travel.net/forum/search.php?em###########################################
- http://ch###space.net/forum/search.php?em###########################################
- http://be####yellow.net/forum/search.php?em###########################################
- http://ri###nclose.net/forum/search.php?em###########################################
- http://be###gclose.net/forum/search.php?em###########################################
- http://de####yyellow.net/forum/search.php?em###########################################
- http://hu####dspace.net/forum/search.php?em###########################################
- http://jo####ytravel.net/forum/search.php?em###########################################
- http://hu####dtravel.net/forum/search.php?em###########################################
- http://jo####yspace.net/forum/search.php?em###########################################
- http://re####erobject.net/forum/search.php?em###########################################
- http://wo####hildhood.net/forum/search.php?em###########################################
- http://re#####rchildhood.net/forum/search.php?em###########################################
- http://jo####yyellow.net/forum/search.php?em###########################################
- http://li###espace.net/forum/search.php?em###########################################
- http://de####ytravel.net/forum/search.php?em###########################################
- http://li####travel.net/forum/search.php?em###########################################
- http://de####yspace.net/forum/search.php?em###########################################
- http://hu####dyellow.net/forum/search.php?em###########################################
- http://jo####yclose.net/forum/search.php?em###########################################
- http://hu####dclose.net/forum/search.php?em###########################################
UDP:
- DNS ASK ri####travel.net
- DNS ASK be###gspace.net
- DNS ASK ri####yellow.net
- DNS ASK be####travel.net
- DNS ASK de####yclose.net
- DNS ASK li####yellow.net
- DNS ASK ri###nspace.net
- DNS ASK li###eclose.net
- DNS ASK ch###travel.net
- DNS ASK th###space.net
- DNS ASK ch###yellow.net
- DNS ASK th###travel.net
- DNS ASK ri###nclose.net
- DNS ASK be####yellow.net
- DNS ASK ch###space.net
- DNS ASK be###gclose.net
- DNS ASK jo####ytravel.net
- DNS ASK hu####dspace.net
- DNS ASK jo####yyellow.net
- DNS ASK hu####dtravel.net
- DNS ASK wo####hildhood.net
- DNS ASK re####erobject.net
- DNS ASK jo####yspace.net
- DNS ASK re#####rchildhood.net
- DNS ASK de####ytravel.net
- DNS ASK li###espace.net
- DNS ASK de####yyellow.net
- DNS ASK li####travel.net
- DNS ASK jo####yclose.net
- DNS ASK hu####dyellow.net
- DNS ASK de####yspace.net
- DNS ASK hu####dclose.net
