Technical Information
To ensure autorun and distribution
Creates or modifies the following files
- %APPDATA%\microsoft\windows\start menu\programs\startup\pgptray.lnk
Malicious functions
Executes the following
- '%WINDIR%\syswow64\taskkill.exe' /IM Java.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /IM UpJava.exe /f
Modifies file system
Creates the following files
- %TEMP%\rarsfx0\caso.txt
- %APPDATA%\windows\explorer\_hashlib.pyd
- %APPDATA%\windows\explorer\_socket.pyd
- %APPDATA%\windows\explorer\_ssl.pyd
- %APPDATA%\windows\explorer\_win32sysloader.pyd
- %APPDATA%\windes\actcam.php
- %APPDATA%\windes\actscreen.php
- %APPDATA%\windes\archivo.cam.php
- %APPDATA%\windes\archivo.key.php
- %APPDATA%\windes\archivo.pic.php
- %APPDATA%\windows\explorer\screen_h.htm
- %APPDATA%\windes\archivo.web.php
- %APPDATA%\windes\bz2.pyd
- %APPDATA%\windes\caso.txt
- %APPDATA%\windes\cerrar.asp
- %APPDATA%\windes\clipboard.php
- %APPDATA%\windes\clipboard_a.htm
- %APPDATA%\windes\create.php
- %APPDATA%\windes\descam.php
- %APPDATA%\windes\desscreen.php
- %APPDATA%\windes\equipoonline.asp
- %APPDATA%\windows\explorer\win32gui.pyd
- %APPDATA%\windows\explorer\win32ui.pyd
- %APPDATA%\windows\explorer\win32clipboard.pyd
- %APPDATA%\windows\explorer\win32api.pyd
- %APPDATA%\windows\explorer\w9xpopen.exe
- %APPDATA%\windows\explorer\online.asp
- %APPDATA%\windows\explorer\pil._imaging.pyd
- %APPDATA%\windows\explorer\pil._imagingft.pyd
- %APPDATA%\windows\explorer\pyhook._cpyhook.pyd
- %APPDATA%\windows\explorer\python27.dll
- %APPDATA%\windows\explorer\pythoncom27.dll
- %APPDATA%\windows\explorer\pywintypes27.dll
- %APPDATA%\windows\explorer\r_extraer.htm
- %APPDATA%\windows\explorer\screen.php
- %APPDATA%\windes\getpic.php
- %APPDATA%\windes\avwebdel.exe
- %APPDATA%\windows\explorer\screen_a.htm
- %APPDATA%\windows\explorer\snapshot.php
- %APPDATA%\windows\explorer\snap_a.htm
- %APPDATA%\windows\explorer\snap_h.htm
- %APPDATA%\windows\explorer\uninstall.htm
- %APPDATA%\windows\explorer\uninstall.php
- %APPDATA%\windows\explorer\updatelist.php
- %APPDATA%\windows\explorer\upjava.exe
- %APPDATA%\windows\explorer\vidcap.pyd
- %APPDATA%\windows\explorer\visor.htm
- %APPDATA%\windows\explorer\microsoft.vc90.mfc.manifest
- %APPDATA%\windows\explorer\select.pyd
- %APPDATA%\windes\link3.php
- %APPDATA%\windows\sysinfo.txt
- %APPDATA%\windes\hdd.php
- %APPDATA%\windes\screen_h.htm
- %APPDATA%\windes\select.pyd
- %APPDATA%\windes\snapshot.php
- %APPDATA%\windes\snap_a.htm
- %APPDATA%\windes\snap_h.htm
- %APPDATA%\windes\uninstall.htm
- %APPDATA%\windes\uninstall.php
- %APPDATA%\windes\updatelist.php
- %APPDATA%\windes\upjava.exe
- %APPDATA%\windes\hclipboard.php
- %APPDATA%\windes\vidcap.pyd
- %APPDATA%\windes\w9xpopen.exe
- %APPDATA%\windes\win32api.pyd
- %APPDATA%\windes\win32clipboard.pyd
- %APPDATA%\windes\win32gui.pyd
- %APPDATA%\windes\win32ui.pyd
- %APPDATA%\windes\_hashlib.pyd
- %APPDATA%\windes\_socket.pyd
- %APPDATA%\windes\_ssl.pyd
- %APPDATA%\windes\_win32sysloader.pyd
- %APPDATA%\windes\screen.php
- %APPDATA%\windes\screen_a.htm
- %APPDATA%\windes\r_extraer.htm
- %APPDATA%\windes\pywintypes27.dll
- %APPDATA%\windes\pythoncom27.dll
- %APPDATA%\windes\historial.key.php
- %APPDATA%\windes\historial.pic.php
- %APPDATA%\windes\infosys.htm
- %APPDATA%\windes\java.exe
- %APPDATA%\windes\javack.exe
- %APPDATA%\windes\javatm.exe
- %APPDATA%\windes\key.php
- %APPDATA%\windes\key_a.htm
- %APPDATA%\windes\key_h.htm
- %APPDATA%\windes\hdd.htm
- %APPDATA%\windows\explorer\mfc90.dll
- %APPDATA%\windes\link.php
- %APPDATA%\windes\logo.htm
- %APPDATA%\windes\menu.htm
- %APPDATA%\windes\mfc90.dll
- %APPDATA%\windes\microsoft.vc90.mfc.manifest
- %APPDATA%\windes\online.asp
- %APPDATA%\windes\pil._imaging.pyd
- %APPDATA%\windes\pil._imagingft.pyd
- %APPDATA%\windes\pyhook._cpyhook.pyd
- %APPDATA%\windes\python27.dll
- %APPDATA%\windes\historial.cam.php
- %APPDATA%\windes\loading.asp
- %APPDATA%\windes\visor.htm
- %APPDATA%\windows\explorer\menu.htm
- %APPDATA%\windows\explorer\historial.pic.php
- %TEMP%\rarsfx0\online.asp
- %TEMP%\rarsfx0\microsoft.vc90.mfc.manifest
- %TEMP%\rarsfx0\actcam.php
- %TEMP%\rarsfx0\actscreen.php
- %TEMP%\rarsfx0\archivo.cam.php
- %TEMP%\rarsfx0\archivo.key.php
- %TEMP%\rarsfx0\archivo.pic.php
- %TEMP%\rarsfx0\archivo.web.php
- %TEMP%\rarsfx0\clipboard.php
- %TEMP%\rarsfx0\snap_h.htm
- %TEMP%\rarsfx0\create.php
- %TEMP%\rarsfx0\desscreen.php
- %TEMP%\rarsfx0\getpic.php
- %TEMP%\rarsfx0\hclipboard.php
- %TEMP%\rarsfx0\hdd.php
- %TEMP%\rarsfx0\historial.cam.php
- %TEMP%\rarsfx0\historial.key.php
- %TEMP%\rarsfx0\historial.pic.php
- %TEMP%\rarsfx0\key.php
- %TEMP%\rarsfx0\link.php
- %TEMP%\rarsfx0\equipoonline.asp
- %TEMP%\rarsfx0\loading.asp
- %TEMP%\rarsfx0\cerrar.asp
- %TEMP%\rarsfx0\pywintypes27.dll
- %TEMP%\rarsfx0\pythoncom27.dll
- %TEMP%\rarsfx0\hdd.htm
- %TEMP%\rarsfx0\infosys.htm
- %TEMP%\rarsfx0\key_a.htm
- %TEMP%\rarsfx0\key_h.htm
- %TEMP%\rarsfx0\logo.htm
- %TEMP%\rarsfx0\menu.htm
- %TEMP%\rarsfx0\r_extraer.htm
- %TEMP%\rarsfx0\screen_a.htm
- %TEMP%\rarsfx0\screen_h.htm
- %TEMP%\rarsfx0\link3.php
- %TEMP%\rarsfx0\descam.php
- %TEMP%\rarsfx0\snap_a.htm
- %TEMP%\rarsfx0\visor.htm
- %TEMP%\rarsfx0\avwebdel.exe
- %TEMP%\rarsfx0\java.exe
- %TEMP%\rarsfx0\javack.exe
- %TEMP%\rarsfx0\javatm.exe
- %TEMP%\rarsfx0\upjava.exe
- %TEMP%\rarsfx0\w9xpopen.exe
- %TEMP%\rarsfx0\mfc90.dll
- %TEMP%\rarsfx0\python27.dll
- %TEMP%\rarsfx0\clipboard_a.htm
- %TEMP%\rarsfx0\uninstall.htm
- %TEMP%\rarsfx0\win32api.pyd
- %APPDATA%\windows\explorer\loading.asp
- %TEMP%\rarsfx0\uninstall.php
- %APPDATA%\windows\explorer\create.php
- %APPDATA%\windows\explorer\descam.php
- %APPDATA%\windows\explorer\desscreen.php
- %APPDATA%\windows\explorer\equipoonline.asp
- %APPDATA%\windows\explorer\getpic.php
- %APPDATA%\windows\explorer\hclipboard.php
- %APPDATA%\windows\explorer\hdd.htm
- %APPDATA%\windows\explorer\hdd.php
- %APPDATA%\windows\explorer\historial.cam.php
- %TEMP%\rarsfx0\screen.php
- %APPDATA%\windows\explorer\historial.key.php
- %APPDATA%\windows\explorer\infosys.htm
- %APPDATA%\windows\explorer\java.exe
- %APPDATA%\windows\explorer\javack.exe
- %APPDATA%\windows\explorer\javatm.exe
- %APPDATA%\windows\explorer\key.php
- %APPDATA%\windows\explorer\key_a.htm
- %APPDATA%\windows\explorer\key_h.htm
- %APPDATA%\windows\explorer\link.php
- %APPDATA%\windows\explorer\link3.php
- %APPDATA%\windows\explorer\clipboard.php
- %APPDATA%\windows\explorer\clipboard_a.htm
- %APPDATA%\windows\explorer\cerrar.asp
- %APPDATA%\windows\explorer\caso.txt
- %APPDATA%\windows\explorer\bz2.pyd
- %TEMP%\rarsfx0\_hashlib.pyd
- %TEMP%\rarsfx0\_socket.pyd
- %TEMP%\rarsfx0\_ssl.pyd
- %TEMP%\rarsfx0\_win32sysloader.pyd
- %TEMP%\rarsfx0\bz2.pyd
- %TEMP%\rarsfx0\pil._imaging.pyd
- %TEMP%\rarsfx0\pil._imagingft.pyd
- %TEMP%\rarsfx0\pyhook._cpyhook.pyd
- %TEMP%\rarsfx0\select.pyd
- %TEMP%\rarsfx0\snapshot.php
- %APPDATA%\windows\explorer\logo.htm
- %TEMP%\rarsfx0\vidcap.pyd
- %TEMP%\rarsfx0\win32gui.pyd
- %TEMP%\rarsfx0\win32ui.pyd
- %APPDATA%\windows\explorer\actcam.php
- %APPDATA%\windows\explorer\actscreen.php
- %APPDATA%\windows\explorer\archivo.cam.php
- %APPDATA%\windows\explorer\archivo.key.php
- %APPDATA%\windows\explorer\archivo.pic.php
- %APPDATA%\windows\explorer\archivo.web.php
- %APPDATA%\windows\explorer\avwebdel.exe
- %TEMP%\rarsfx0\updatelist.php
- %TEMP%\rarsfx0\win32clipboard.pyd
- %APPDATA%\windows\logs.txt
Network activity
Connects to
- '19#.#0.245.28':80
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Creates and executes the following
- '%TEMP%\rarsfx0\javatm.exe'
- '%APPDATA%\windows\explorer\java.exe'
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /IM Java.exe /f' (with hidden window)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /IM UpJava.exe /f' (with hidden window)
- '%WINDIR%\syswow64\cmd.exe' /c attrib +h +s +a "%APPDATA%\windows"' (with hidden window)
- '%WINDIR%\syswow64\cmd.exe' /c attrib +h +s +a "%APPDATA%\WinDes"' (with hidden window)
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all' (with hidden window)
- '%WINDIR%\syswow64\cmd.exe' /c systeminfo' (with hidden window)
Executes the following
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /IM Java.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /IM UpJava.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c attrib +h +s +a "%APPDATA%\windows"
- '%WINDIR%\syswow64\attrib.exe' +h +s +a "%APPDATA%\windows"
- '%WINDIR%\syswow64\cmd.exe' /c attrib +h +s +a "%APPDATA%\WinDes"
- '%WINDIR%\syswow64\attrib.exe' +h +s +a "%APPDATA%\WinDes"
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all
- '%WINDIR%\syswow64\ipconfig.exe' /all
- '%WINDIR%\syswow64\cmd.exe' /c systeminfo
- '%WINDIR%\syswow64\systeminfo.exe'
