Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'NGEN Application Event Netlogon Visual' = '%APPDATA%\pemwwcjewqoed\corrngyz.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\pemwwcjewqoed\qdirbmo.exe' "%APPDATA%\pemwwcjewqoed\corrngyz.exe"
- '%APPDATA%\pemwwcjewqoed\corrngyz.exe'
Modifies file system :
Creates the following files:
- %APPDATA%\pemwwcjewqoed\corrngyz.xe
- %APPDATA%\pemwwcjewqoed\qdirbmo.exe
- %APPDATA%\pemwwcjewqoed\corrngyz.exe
Sets the 'hidden' attribute to the following files:
- %APPDATA%\pemwwcjewqoed\qdirbmo.exe
- %APPDATA%\pemwwcjewqoed\corrngyz.exe
Network activity:
Connects to:
- 'wo####omplete.net':80
- 'sm####omplete.net':80
- 'wo###proud.net':80
- 'sm###proud.net':80
- 'pa####elcome.net':80
- 'fi###around.net':80
- 'pa###proud.net':80
- 'fi####elcome.net':80
- 'pa###around.net':80
- 'wa###proud.net':80
- 'th####tcomplete.net':80
- 'wa###around.net':80
- 'th####tproud.net':80
- 'wa####omplete.net':80
- 'wo###around.net':80
- 'sm###around.net':80
- 'wo####elcome.net':80
- 'sm####elcome.net':80
- 'fi###proud.net':80
- 'al####ynature.net':80
- 'ge####manneedle.net':80
- 'ex#####ncegovern.net':80
- 'ge####mannature.net':80
- 'al####yneedle.net':80
- 'ge####mangovern.net':80
- 'al####ygovern.net':80
- 'ge####manenough.net':80
- 'al####yenough.net':80
- 'fr###nature.net':80
- 'ex#####ncenature.net':80
- 'pa####omplete.net':80
- 'fi####omplete.net':80
- 'fr###needle.net':80
- 'ex#####nceenough.net':80
- 'fr###govern.net':80
- 'ex#####nceneedle.net':80
- 'fr###enough.net':80
- 'me####welcome.net':80
- 'fo####around.net':80
- 'al####ycomplete.net':80
- 'fo####welcome.net':80
- 'me####around.net':80
- 'fo####complete.net':80
- 'me####complete.net':80
- 'fo###wproud.net':80
- 'me###rproud.net':80
- 'ge#####anwelcome.net':80
- 'al####ywelcome.net':80
- 'fr####omplete.net':80
- 'ex#####ncecomplete.net':80
- 'ge####manaround.net':80
- 'al####yproud.net':80
- 'ge#####ancomplete.net':80
- 'al####yaround.net':80
- 'ge####manproud.net':80
- 'be####elcome.net':80
- 'su###rproud.net':80
- 'cr###proud.net':80
- 'su####around.net':80
- 'cr###around.net':80
- 'su####complete.net':80
- 'wa####elcome.net':80
- 'th####taround.net':80
- 'cr####omplete.net':80
- 'th####twelcome.net':80
- 'kn###around.net':80
- 'be###proud.net':80
- 'kn####elcome.net':80
- 'be###around.net':80
- 'kn###proud.net':80
- 'su####welcome.net':80
- 'cr####elcome.net':80
- 'be####omplete.net':80
- 'kn####omplete.net':80
TCP:
HTTP GET requests:
- http://wo####omplete.net/forum/search.php?em######################################################
- http://sm####omplete.net/forum/search.php?em######################################################
- http://wo###proud.net/forum/search.php?em######################################################
- http://sm###proud.net/forum/search.php?em######################################################
- http://pa####elcome.net/forum/search.php?em######################################################
- http://fi###around.net/forum/search.php?em######################################################
- http://pa###proud.net/forum/search.php?em######################################################
- http://fi####elcome.net/forum/search.php?em######################################################
- http://pa###around.net/forum/search.php?em######################################################
- http://wa###proud.net/forum/search.php?em######################################################
- http://th####tcomplete.net/forum/search.php?em######################################################
- http://wa###around.net/forum/search.php?em######################################################
- http://th####tproud.net/forum/search.php?em######################################################
- http://wa####omplete.net/forum/search.php?em######################################################
- http://wo###around.net/forum/search.php?em######################################################
- http://sm###around.net/forum/search.php?em######################################################
- http://wo####elcome.net/forum/search.php?em######################################################
- http://sm####elcome.net/forum/search.php?em######################################################
- http://fi###proud.net/forum/search.php?em######################################################
- http://al####ynature.net/forum/search.php?em######################################################
- http://ge####manneedle.net/forum/search.php?em######################################################
- http://ex#####ncegovern.net/forum/search.php?em######################################################
- http://ge####mannature.net/forum/search.php?em######################################################
- http://al####yneedle.net/forum/search.php?em######################################################
- http://ge####mangovern.net/forum/search.php?em######################################################
- http://al####ygovern.net/forum/search.php?em######################################################
- http://ge####manenough.net/forum/search.php?em######################################################
- http://al####yenough.net/forum/search.php?em######################################################
- http://fr###nature.net/forum/search.php?em######################################################
- http://ex#####ncenature.net/forum/search.php?em######################################################
- http://pa####omplete.net/forum/search.php?em######################################################
- http://fi####omplete.net/forum/search.php?em######################################################
- http://fr###needle.net/forum/search.php?em######################################################
- http://ex#####nceenough.net/forum/search.php?em######################################################
- http://fr###govern.net/forum/search.php?em######################################################
- http://ex#####nceneedle.net/forum/search.php?em######################################################
- http://fr###enough.net/forum/search.php?em######################################################
- http://me####welcome.net/forum/search.php?em######################################################
- http://fo####around.net/forum/search.php?em######################################################
- http://al####ycomplete.net/forum/search.php?em######################################################
- http://fo####welcome.net/forum/search.php?em######################################################
- http://me####around.net/forum/search.php?em######################################################
- http://fo####complete.net/forum/search.php?em######################################################
- http://me####complete.net/forum/search.php?em######################################################
- http://fo###wproud.net/forum/search.php?em######################################################
- http://me###rproud.net/forum/search.php?em######################################################
- http://ge#####anwelcome.net/forum/search.php?em######################################################
- http://al####ywelcome.net/forum/search.php?em######################################################
- http://fr####omplete.net/forum/search.php?em######################################################
- http://ex#####ncecomplete.net/forum/search.php?em######################################################
- http://ge####manaround.net/forum/search.php?em######################################################
- http://al####yproud.net/forum/search.php?em######################################################
- http://ge#####ancomplete.net/forum/search.php?em######################################################
- http://al####yaround.net/forum/search.php?em######################################################
- http://ge####manproud.net/forum/search.php?em######################################################
- http://be####elcome.net/forum/search.php?em######################################################
- http://su###rproud.net/forum/search.php?em######################################################
- http://cr###proud.net/forum/search.php?em######################################################
- http://su####around.net/forum/search.php?em######################################################
- http://cr###around.net/forum/search.php?em######################################################
- http://su####complete.net/forum/search.php?em######################################################
- http://wa####elcome.net/forum/search.php?em######################################################
- http://th####taround.net/forum/search.php?em######################################################
- http://cr####omplete.net/forum/search.php?em######################################################
- http://th####twelcome.net/forum/search.php?em######################################################
- http://kn###around.net/forum/search.php?em######################################################
- http://be###proud.net/forum/search.php?em######################################################
- http://kn####elcome.net/forum/search.php?em######################################################
- http://be###around.net/forum/search.php?em######################################################
- http://kn###proud.net/forum/search.php?em######################################################
- http://su####welcome.net/forum/search.php?em######################################################
- http://cr####elcome.net/forum/search.php?em######################################################
- http://be####omplete.net/forum/search.php?em######################################################
- http://kn####omplete.net/forum/search.php?em######################################################
UDP:
- DNS ASK sm####omplete.net
- DNS ASK pa####elcome.net
- DNS ASK sm###proud.net
- DNS ASK wo####omplete.net
- DNS ASK fi####elcome.net
- DNS ASK pa###proud.net
- DNS ASK fi###proud.net
- DNS ASK pa###around.net
- DNS ASK fi###around.net
- DNS ASK th####tcomplete.net
- DNS ASK wa####omplete.net
- DNS ASK th####tproud.net
- DNS ASK wa###proud.net
- DNS ASK wo####elcome.net
- DNS ASK sm###around.net
- DNS ASK wo###proud.net
- DNS ASK sm####elcome.net
- DNS ASK wo###around.net
- DNS ASK pa####omplete.net
- DNS ASK ge####manneedle.net
- DNS ASK al####yneedle.net
- DNS ASK ge####mannature.net
- DNS ASK al####ynature.net
- DNS ASK ge####manenough.net
- DNS ASK al####ygovern.net
- DNS ASK fo####nature.net
- DNS ASK al####yenough.net
- DNS ASK ge####mangovern.net
- DNS ASK ex#####ncenature.net
- DNS ASK fr###needle.net
- DNS ASK fi####omplete.net
- DNS ASK fr###nature.net
- DNS ASK ex#####nceneedle.net
- DNS ASK fr###govern.net
- DNS ASK ex#####ncegovern.net
- DNS ASK fr###enough.net
- DNS ASK ex#####nceenough.net
- DNS ASK wa###around.net
- DNS ASK me####welcome.net
- DNS ASK fo####around.net
- DNS ASK al####ycomplete.net
- DNS ASK fo####welcome.net
- DNS ASK me####around.net
- DNS ASK fo####complete.net
- DNS ASK me####complete.net
- DNS ASK fo###wproud.net
- DNS ASK me###rproud.net
- DNS ASK ge#####anwelcome.net
- DNS ASK al####ywelcome.net
- DNS ASK fr####omplete.net
- DNS ASK ex#####ncecomplete.net
- DNS ASK ge####manaround.net
- DNS ASK al####yproud.net
- DNS ASK ge#####ancomplete.net
- DNS ASK al####yaround.net
- DNS ASK ge####manproud.net
- DNS ASK be####elcome.net
- DNS ASK su###rproud.net
- DNS ASK cr###proud.net
- DNS ASK su####around.net
- DNS ASK cr###around.net
- DNS ASK su####complete.net
- DNS ASK wa####elcome.net
- DNS ASK th####taround.net
- DNS ASK cr####omplete.net
- DNS ASK th####twelcome.net
- DNS ASK kn###around.net
- DNS ASK be###proud.net
- DNS ASK kn####elcome.net
- DNS ASK be###around.net
- DNS ASK kn###proud.net
- DNS ASK su####welcome.net
- DNS ASK cr####elcome.net
- DNS ASK be####omplete.net
- DNS ASK kn####omplete.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
