Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'TCP/IP Bluetooth IKE Socket Proxy' = '<SYSTEM32>\aaxnacqycft.exe'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\Connectivity Quality Logon AutoConfig Performance] 'Start' = '00000002'
Malicious functions:
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Creates and executes the following:
- '<SYSTEM32>\fzxttdg.exe' "<SYSTEM32>\aaxnacqycft.exe"
- '%WINDIR%\Temp\pawdenf3a5hfnm0.exe' -r 47788 tcp
- '%TEMP%\pawdenf33ytfnm0ucnpz6.exe'
- '<SYSTEM32>\aaxnacqycft.exe'
Modifies file system :
Creates the following files:
- <SYSTEM32>\jpgajpnxa\run
- <SYSTEM32>\jpgajpnxa\rng
- %WINDIR%\Temp\pawdenf3a5hfnm0.exe
- <SYSTEM32>\jpgajpnxa\cfg
- <SYSTEM32>\fzxttdg.exe
- %TEMP%\pawdenf33ytfnm0ucnpz6.exe
- <SYSTEM32>\jpgajpnxa\tst
- <SYSTEM32>\aaxnacqycft.exe
- <SYSTEM32>\jpgajpnxa\etc
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\fzxttdg.exe
- <SYSTEM32>\aaxnacqycft.exe
Deletes the following files:
- %WINDIR%\Temp\pawdenf3a5hfnm0.exe
- <DRIVERS>\etc\hosts
- %TEMP%\pawdenf33ytfnm0ucnpz6.exe
Substitutes the HOSTS file.
Network activity:
Connects to:
- 'fa###hard.net':80
- 'ri###ard.net':80
- 'fa###clock.net':80
- 'ri###lock.net':80
- 'no###lock.net':80
- 'we###lock.net':80
- 'we###ush.net':80
- 'we###ake.net':80
- 'ri###ake.net':80
- 'so###shine.net':80
- 'fi###fifth.net':80
- 'so###done.net':80
- 'fi###shine.net':80
- 'ri###ush.net':80
- 'fa###make.net':80
- 'so###fifth.net':80
- 'fa###rush.net':80
- 'dr####hirteen.net':80
- 'mo###rest.net':80
- 'mu###appy.net':80
- 'fa###oat.net':80
- 'so###nder.net':80
- 'ab###ead.net':80
- 'we####dayhalf.net':80
- 'qu###tell.net':80
- 'fe###tate.net':80
- 'li###ush.net':80
- 'no###ush.net':80
- 'no###ard.net':80
- 'we###ard.net':80
- 'li###lock.net':80
- 'ca###ile.net':80
- 'li###ake.net':80
- 'no###ake.net':80
TCP:
HTTP GET requests:
- http://fa###hard.net/index.php?me################################################
- http://ri###ard.net/index.php?me################################################
- http://fa###clock.net/index.php?me################################################
- http://ri###lock.net/index.php?me################################################
- http://no###lock.net/index.php?me################################################
- http://we###lock.net/index.php?me################################################
- http://we###ush.net/index.php?me################################################
- http://we###ake.net/index.php?me################################################
- http://ri###ake.net/index.php?me################################################
- http://so###shine.net/index.php?me################################################
- http://fi###fifth.net/index.php?me################################################
- http://so###done.net/index.php?me################################################
- http://fi###shine.net/index.php?me################################################
- http://ri###ush.net/index.php?me################################################
- http://fa###make.net/index.php?me################################################
- http://so###fifth.net/index.php?me################################################
- http://fa###rush.net/index.php?me################################################
- http://dr####hirteen.net/index.php?me################################################
- http://mo###rest.net/index.php?me################################################
- http://mu###appy.net/index.php?me################################################
- http://fa###oat.net/index.php?me################################################
- http://so###nder.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://we####dayhalf.net/index.php?me################################################
- http://qu###tell.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://li###ush.net/index.php?me################################################
- http://no###ush.net/index.php?me################################################
- http://no###ard.net/index.php?me################################################
- http://we###ard.net/index.php?me################################################
- http://li###lock.net/index.php?me################################################
- http://ca###ile.net/index.php?me################################################
- http://li###ake.net/index.php?me################################################
- http://no###ake.net/index.php?me################################################
UDP:
- DNS ASK ri###lock.net
- DNS ASK fa###hard.net
- DNS ASK ri###ake.net
- DNS ASK fa###clock.net
- DNS ASK ri###ard.net
- DNS ASK no###lock.net
- DNS ASK we###lock.net
- DNS ASK we###ush.net
- DNS ASK we###ake.net
- DNS ASK fi###shine.net
- DNS ASK so###shine.net
- DNS ASK fi###done.net
- DNS ASK so###done.net
- DNS ASK fi###fifth.net
- DNS ASK ri###ush.net
- DNS ASK fa###make.net
- DNS ASK so###fifth.net
- DNS ASK fa###rush.net
- DNS ASK dr####hirteen.net
- DNS ASK mo###rest.net
- DNS ASK mu###appy.net
- DNS ASK fa###oat.net
- DNS ASK so###nder.net
- DNS ASK ab###ead.net
- DNS ASK we####dayhalf.net
- DNS ASK qu###tell.net
- DNS ASK fe###tate.net
- DNS ASK li###ush.net
- DNS ASK no###ush.net
- DNS ASK no###ard.net
- DNS ASK we###ard.net
- DNS ASK li###lock.net
- DNS ASK ca###ile.net
- DNS ASK li###ake.net
- DNS ASK no###ake.net
- '23#.#55.255.250':1900
