Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Mygicpr' = 'C:\Users\Public\Libraries\rpcigyM.url'
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\syswow64\autofmt.exe
Reads files which store third party applications passwords
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\cveuropeo.doc
Modifies file system
Creates the following files
- C:\users\public\libraries\mygicpr.exe
- C:\users\public\libraries\rpcigym.url
Network activity
Connects to
- 'on####ve.live.com':443
- 'microsoft.com':80
- 'qe####.#m.files.1drv.com':443
- '8x##nv.xyz':80
- 'nx###hxt.com':80
- 'di####palnej.quest':80
- 're######ntebrasasylea.com':80
- 'ju#######sgonzalez-najera.com':80
- 'an####lastic.net':80
- 'su#####antivirus.com':80
- 'hb##.lgbt':80
TCP
HTTP GET requests
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://www.8x##nv.xyz/uj3c/?BB###################################################################################
- http://www.nx###hxt.com/uj3c/?BB###################################################################################
- http://www.di####palnej.quest/uj3c/?BB###################################################################################
- http://www.re######ntebrasasylea.com/uj3c/?BB###################################################################################
- http://www.ju#######sgonzalez-najera.com/uj3c/?BB###################################################################################
- http://www.an####lastic.net/uj3c/?BB###################################################################################
- http://www.su#####antivirus.com/uj3c/?BB###################################################################################
- http://www.hb##.lgbt/uj3c/?BB###################################################################################
Other
- 'on####ve.live.com':443
- 'qe####.#m.files.1drv.com':443
UDP
- DNS ASK on####ve.live.com
- DNS ASK microsoft.com
- DNS ASK qe####.#m.files.1drv.com
- DNS ASK 8x##nv.xyz
- DNS ASK nx###hxt.com
- DNS ASK di####palnej.quest
- DNS ASK re######ntebrasasylea.com
- DNS ASK public-trust.com
- DNS ASK ju#######sgonzalez-najera.com
- DNS ASK co#####rthis.digital
- DNS ASK an####lastic.net
- DNS ASK su#####antivirus.com
- DNS ASK hb##.lgbt
Miscellaneous
Executes the following
- '%WINDIR%\syswow64\dpiscaling.exe'
- '%WINDIR%\syswow64\napstat.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\SysWOW64\DpiScaling.exe"
