Technical Information
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\syswow64\svchost.exe
the following user processes:
- iexplore.exe
Creates onion service
Modifies file system
Creates the following files
- %APPDATA%\tor\state.tmp
- %APPDATA%\tor\hidden_service\private_key.tmp
- %APPDATA%\tor\hidden_service\hostname.tmp
- %APPDATA%\ukdufo\raaph.exe
- %TEMP%\opencl.dll
Moves the following files
- from %APPDATA%\tor\state.tmp to %APPDATA%\tor\state
- from %APPDATA%\tor\hidden_service\private_key.tmp to %APPDATA%\tor\hidden_service\private_key
- from %APPDATA%\tor\hidden_service\hostname.tmp to %APPDATA%\tor\hidden_service\hostname
Network activity
Connects to
- 'ch####p.dyndns.org':80
- 'localhost':49175
- '12#.31.0.39':9101
- '21#.#15.239.118':80
- 'localhost':9050
TCP
HTTP GET requests
- http://ch####p.dyndns.org/
Other
- 'localhost':9050
- 'localhost':49453
- 'localhost':49452
- 'localhost':49451
- 'localhost':49450
- 'localhost':49449
- 'localhost':49448
- 'localhost':49447
- 'localhost':49446
- 'localhost':49445
- 'localhost':49444
- 'localhost':49443
- 'localhost':49442
- 'localhost':49441
- 'localhost':49440
- 'localhost':49439
- 'localhost':49438
- 'localhost':49437
- 'localhost':49436
- 'localhost':49435
- 'localhost':49434
- 'localhost':49433
- 'localhost':49431
- 'localhost':49432
- 'localhost':49454
- 'localhost':49455
- 'localhost':49477
- 'localhost':49476
- 'localhost':49475
- 'localhost':49474
- 'localhost':49473
- 'localhost':49472
- 'localhost':49471
- 'localhost':49470
- 'localhost':49469
- 'localhost':49468
- 'localhost':49466
- 'localhost':49416
- 'localhost':49465
- 'localhost':49464
- 'localhost':49463
- 'localhost':49462
- 'localhost':49461
- 'localhost':49460
- 'localhost':49459
- 'localhost':49458
- 'localhost':49457
- 'localhost':49456
- 'localhost':49430
- 'localhost':49429
- 'localhost':49428
- 'localhost':49400
- 'localhost':49399
- 'localhost':49398
- 'localhost':49397
- 'localhost':49396
- 'localhost':49395
- 'localhost':49394
- 'localhost':49393
- 'localhost':49392
- 'localhost':49391
- 'localhost':49390
- 'localhost':49389
- 'localhost':49388
- 'localhost':49387
- 'localhost':49386
- 'localhost':49385
- 'localhost':49384
- 'localhost':49383
- 'localhost':49382
- 'localhost':49381
- 'localhost':49402
- 'localhost':49403
- 'localhost':49401
- 'localhost':49404
- 'localhost':49427
- 'localhost':49405
- 'localhost':49426
- 'localhost':49425
- 'localhost':49424
- 'localhost':49423
- 'localhost':49422
- 'localhost':49421
- 'localhost':49420
- 'localhost':49419
- 'localhost':49418
- 'localhost':49467
- 'localhost':49478
- 'localhost':49415
- 'localhost':49414
- 'localhost':49413
- 'localhost':49412
- 'localhost':49411
- 'localhost':49410
- 'localhost':49409
- 'localhost':49408
- 'localhost':49407
- 'localhost':49406
- 'localhost':49417
- 'localhost':49517
- 'localhost':49579
- 'localhost':49481
- 'localhost':49554
- 'localhost':49553
- 'localhost':49552
- 'localhost':49551
- 'localhost':49550
- 'localhost':49549
- 'localhost':49548
- 'localhost':49547
- 'localhost':49546
- 'localhost':49545
- 'localhost':49544
- 'localhost':49543
- 'localhost':49542
- 'localhost':49541
- 'localhost':49540
- 'localhost':49539
- 'localhost':49538
- 'localhost':49537
- 'localhost':49536
- 'localhost':49535
- 'localhost':49534
- 'localhost':49532
- 'localhost':49533
- 'localhost':49555
- 'localhost':49556
- 'localhost':49578
- 'localhost':49577
- 'localhost':49576
- 'localhost':49575
- 'localhost':49574
- 'localhost':49573
- 'localhost':49572
- 'localhost':49571
- 'localhost':49570
- 'localhost':49569
- 'localhost':49567
- 'localhost':49479
- 'localhost':49566
- 'localhost':49565
- 'localhost':49564
- 'localhost':49563
- 'localhost':49562
- 'localhost':49561
- 'localhost':49560
- 'localhost':49559
- 'localhost':49558
- 'localhost':49557
- 'localhost':49531
- 'localhost':49530
- 'localhost':49529
- 'localhost':49501
- 'localhost':49500
- 'localhost':49499
- 'localhost':49498
- 'localhost':49497
- 'localhost':49496
- 'localhost':49495
- 'localhost':49494
- 'localhost':49493
- 'localhost':49492
- 'localhost':49491
- 'localhost':49490
- 'localhost':49489
- 'localhost':49488
- 'localhost':49487
- 'localhost':49486
- 'localhost':49485
- 'localhost':49484
- 'localhost':49483
- 'localhost':49482
- 'localhost':49503
- 'localhost':49504
- 'localhost':49502
- 'localhost':49505
- 'localhost':49528
- 'localhost':49506
- 'localhost':49527
- 'localhost':49526
- 'localhost':49525
- 'localhost':49524
- 'localhost':49523
- 'localhost':49522
- 'localhost':49521
- 'localhost':49520
- 'localhost':49519
- 'localhost':49380
- 'localhost':49480
- 'localhost':49516
- 'localhost':49515
- 'localhost':49514
- 'localhost':49513
- 'localhost':49512
- 'localhost':49511
- 'localhost':49510
- 'localhost':49509
- 'localhost':49508
- 'localhost':49507
- 'localhost':49518
- 'localhost':49568
- 'localhost':49379
- 'localhost':49366
- 'localhost':49251
- 'localhost':49250
- 'localhost':49249
- 'localhost':49248
- 'localhost':49247
- 'localhost':49246
- 'localhost':49245
- 'localhost':49244
- 'localhost':49243
- 'localhost':49242
- 'localhost':49241
- 'localhost':49240
- 'localhost':49239
- 'localhost':49238
- 'localhost':49237
- 'localhost':49236
- 'localhost':49235
- 'localhost':49234
- 'localhost':49233
- 'localhost':49232
- 'localhost':49231
- 'localhost':49229
- 'localhost':49230
- 'localhost':49252
- 'localhost':49253
- 'localhost':49275
- 'localhost':49274
- 'localhost':49273
- 'localhost':49272
- 'localhost':49271
- 'localhost':49270
- 'localhost':49269
- 'localhost':49268
- 'localhost':49267
- 'localhost':49266
- 'localhost':49264
- 'localhost':49214
- 'localhost':49263
- 'localhost':49262
- 'localhost':49261
- 'localhost':49260
- 'localhost':49259
- 'localhost':49258
- 'localhost':49257
- 'localhost':49256
- 'localhost':49255
- 'localhost':49254
- 'localhost':49228
- 'localhost':49227
- 'localhost':49226
- 'localhost':49198
- 'localhost':49197
- 'localhost':49196
- 'localhost':49195
- 'localhost':49194
- 'localhost':49193
- 'localhost':49192
- 'localhost':49191
- 'localhost':49190
- 'localhost':49189
- 'localhost':49188
- 'localhost':49187
- 'localhost':49186
- 'localhost':49185
- 'localhost':49184
- 'localhost':49183
- 'localhost':49182
- 'localhost':49180
- 'localhost':49181
- 'localhost':49179
- 'localhost':49200
- 'localhost':49201
- 'localhost':49199
- 'localhost':49202
- 'localhost':49225
- 'localhost':49203
- 'localhost':49224
- 'localhost':49223
- 'localhost':49222
- 'localhost':49221
- 'localhost':49220
- 'localhost':49219
- 'localhost':49218
- 'localhost':49217
- 'localhost':49216
- 'localhost':49265
- 'localhost':49276
- 'localhost':49213
- 'localhost':49212
- 'localhost':49211
- 'localhost':49210
- 'localhost':49209
- 'localhost':49208
- 'localhost':49207
- 'localhost':49206
- 'localhost':49205
- 'localhost':49204
- 'localhost':49215
- 'localhost':49315
- 'localhost':49377
- 'localhost':49279
- 'localhost':49352
- 'localhost':49351
- 'localhost':49350
- 'localhost':49349
- 'localhost':49348
- 'localhost':49347
- 'localhost':49346
- 'localhost':49345
- 'localhost':49344
- 'localhost':49343
- 'localhost':49342
- 'localhost':49341
- 'localhost':49340
- 'localhost':49339
- 'localhost':49338
- 'localhost':49337
- 'localhost':49336
- 'localhost':49335
- 'localhost':49334
- 'localhost':49333
- 'localhost':49332
- 'localhost':49330
- 'localhost':49331
- 'localhost':49353
- 'localhost':49354
- 'localhost':49376
- 'localhost':49375
- 'localhost':49374
- 'localhost':49373
- 'localhost':49372
- 'localhost':49371
- 'localhost':49370
- 'localhost':49369
- 'localhost':49368
- 'localhost':49367
- 'localhost':49365
- 'localhost':49277
- 'localhost':49364
- 'localhost':49363
- 'localhost':49362
- 'localhost':49361
- 'localhost':49360
- 'localhost':49359
- 'localhost':49358
- 'localhost':49357
- 'localhost':49356
- 'localhost':49355
- 'localhost':49329
- 'localhost':49328
- 'localhost':49327
- 'localhost':49299
- 'localhost':49298
- 'localhost':49297
- 'localhost':49296
- 'localhost':49295
- 'localhost':49294
- 'localhost':49293
- 'localhost':49292
- 'localhost':49291
- 'localhost':49290
- 'localhost':49289
- 'localhost':49288
- 'localhost':49287
- 'localhost':49286
- 'localhost':49285
- 'localhost':49284
- 'localhost':49283
- 'localhost':49282
- 'localhost':49281
- 'localhost':49280
- 'localhost':49301
- 'localhost':49302
- 'localhost':49300
- 'localhost':49303
- 'localhost':49326
- 'localhost':49304
- 'localhost':49325
- 'localhost':49324
- 'localhost':49323
- 'localhost':49322
- 'localhost':49321
- 'localhost':49320
- 'localhost':49319
- 'localhost':49318
- 'localhost':49317
- 'localhost':49378
- 'localhost':49278
- 'localhost':49314
- 'localhost':49313
- 'localhost':49312
- 'localhost':49311
- 'localhost':49310
- 'localhost':49309
- 'localhost':49308
- 'localhost':49307
- 'localhost':49306
- 'localhost':49305
- 'localhost':49316
- 'localhost':49580
UDP
- DNS ASK ch####p.dyndns.org
Miscellaneous
Creates and executes the following
- '%APPDATA%\ukdufo\raaph.exe'
- '<Full path to file>' ' (with hidden window)
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' ext "<Full path to file>"' (with hidden window)
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' "ext" "<Full path to file>"' (with hidden window)
- '%WINDIR%\syswow64\svchost.exe' ext "<Full path to file>"' (with hidden window)
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' --HiddenServiceDir "%APPDATA%\tor\hidden_service" --HiddenServicePort "55080 127.0.0.1:55080"' (with hidden window)
Executes the following
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' ext "<Full path to file>"
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' "ext" "<Full path to file>"
- '%WINDIR%\syswow64\svchost.exe' ext "<Full path to file>"
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' --HiddenServiceDir "%APPDATA%\tor\hidden_service" --HiddenServicePort "55080 127.0.0.1:55080"
