Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Enumerator Remote Provider Modules' = '%APPDATA%\tuj3ynr\v5zclq.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\tuj3ynr\v5zclq.exe
- %APPDATA%\tuj3ynr\lvs2w5bokg.exe
- %APPDATA%\tuj3ynr\v5zclq.ldz
Sets the 'hidden' attribute to the following files:
- %APPDATA%\tuj3ynr\v5zclq.exe
Network activity:
Connects to:
- 'wh####rriver.net':80
- 'fa####mister.net':80
- 'ch####ensuppose.net':80
- 'fa####suppose.net':80
- 'ch####enservice.net':80
- 'fa####service.net':80
- 'ch####enriver.net':80
- 'ei####mister.net':80
- 'en####hriver.net':80
- 'en####hmister.net':80
- 'ei####suppose.net':80
- 'en####hsuppose.net':80
- 'ei####service.net':80
- 'en####hservice.net':80
- 'ei###rriver.net':80
- 'ch####enmister.net':80
- 'fa###yriver.net':80
- 'ci####tteriver.net':80
- 'th####service.net':80
- 'ri###river.net':80
- 'fi####mister.net':80
- 'th####mister.net':80
- 'fi####suppose.net':80
- 'th####suppose.net':80
- 'fi####service.net':80
- 'fi###eriver.net':80
- 'ci#####teservice.net':80
- 'th###hriver.net':80
- 'pi####emister.net':80
- 'ci####ttemister.net':80
- 'pi####esuppose.net':80
- 'ci#####tesuppose.net':80
- 'pi####eservice.net':80
- 'pi####eriver.net':80
- 'ex####nearly.net':80
TCP:
HTTP GET requests:
- http://wh####rriver.net/index.php?em#############################################
- http://fa####mister.net/index.php?em#############################################
- http://ch####ensuppose.net/index.php?em#############################################
- http://fa####suppose.net/index.php?em#############################################
- http://ch####enservice.net/index.php?em#############################################
- http://fa####service.net/index.php?em#############################################
- http://ch####enriver.net/index.php?em#############################################
- http://ei####mister.net/index.php?em#############################################
- http://en####hriver.net/index.php?em#############################################
- http://en####hmister.net/index.php?em#############################################
- http://ei####suppose.net/index.php?em#############################################
- http://en####hsuppose.net/index.php?em#############################################
- http://ei####service.net/index.php?em#############################################
- http://en####hservice.net/index.php?em#############################################
- http://ei###rriver.net/index.php?em#############################################
- http://ch####enmister.net/index.php?em#############################################
- http://fa###yriver.net/index.php?em#############################################
- http://ci####tteriver.net/index.php?em#############################################
- http://th####service.net/index.php?em#############################################
- http://ri###river.net/index.php?em#############################################
- http://fi####mister.net/index.php?em#############################################
- http://th####mister.net/index.php?em#############################################
- http://fi####suppose.net/index.php?em#############################################
- http://th####suppose.net/index.php?em#############################################
- http://fi####service.net/index.php?em#############################################
- http://fi###eriver.net/index.php?em#############################################
- http://ci#####teservice.net/index.php?em#############################################
- http://th###hriver.net/index.php?em#############################################
- http://pi####emister.net/index.php?em#############################################
- http://ci####ttemister.net/index.php?em#############################################
- http://pi####esuppose.net/index.php?em#############################################
- http://ci#####tesuppose.net/index.php?em#############################################
- http://pi####eservice.net/index.php?em#############################################
- http://pi####eriver.net/index.php?em#############################################
- http://ex####nearly.net/index.php?em#############################################
UDP:
- DNS ASK wh####rriver.net
- DNS ASK fa####suppose.net
- DNS ASK ch####enservice.net
- DNS ASK fa####service.net
- DNS ASK ch####enriver.net
- DNS ASK fa###yriver.net
- DNS ASK fa####mister.net
- DNS ASK ch####ensuppose.net
- DNS ASK ei####mister.net
- DNS ASK en####hsuppose.net
- DNS ASK ei####service.net
- DNS ASK en####hservice.net
- DNS ASK ei###rriver.net
- DNS ASK en####hriver.net
- DNS ASK en####hmister.net
- DNS ASK ei####suppose.net
- DNS ASK ch####enmister.net
- DNS ASK ci####tteriver.net
- DNS ASK pi####eriver.net
- DNS ASK fi####mister.net
- DNS ASK th####mister.net
- DNS ASK fi####suppose.net
- DNS ASK th####suppose.net
- DNS ASK fi####service.net
- DNS ASK th####service.net
- DNS ASK ri###river.net
- DNS ASK fi###eriver.net
- DNS ASK pi####emister.net
- DNS ASK ci####ttemister.net
- DNS ASK pi####esuppose.net
- DNS ASK ci#####tesuppose.net
- DNS ASK pi####eservice.net
- DNS ASK ci#####teservice.net
- DNS ASK th###hriver.net
- DNS ASK ex####nearly.net
- DNS ASK be####enearly.net
Miscellaneous:
Creates and executes the following:
- '%APPDATA%\tuj3ynr\v5zclq.exe'
- '%APPDATA%\tuj3ynr\lvs2w5bokg.exe' "%APPDATA%\tuj3ynr\v5zclq.exe"
