Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\35688407\fof.exe %TEMP%\35688407\APB_EM~1'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '35688407' = '%TEMP%\35688407\start.vbs'
Creates or modifies the following files
- %APPDATA%\microsoft\windows\start menu\programs\startup\start.lnk
Malicious functions
To complicate detection of its presence in the operating system,
blocks execution of the following system utilities:
- Windows Task Manager (Taskmgr)
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Modifies file system
Creates the following files
- %TEMP%\35688407\dnk.docx
- %TEMP%\35688407\olo.docx
- %TEMP%\35688407\ftw.docx
- %TEMP%\35688407\pnx.txt
- %TEMP%\35688407\ahe.ico
- %TEMP%\35688407\buf.bmp
- %TEMP%\35688407\lle.icm
- %TEMP%\35688407\veh.ico
- %TEMP%\35688407\kvt.jpg
- %TEMP%\35688407\bva.ppt
- %TEMP%\35688407\bbj.icm
- %TEMP%\35688407\xef.ppt
- %TEMP%\35688407\gmk.pdf
- %TEMP%\35688407\kkt.ppt
- %TEMP%\35688407\wlw.docx
- %TEMP%\35688407\gmn.ppt
- %TEMP%\35688407\njunv
- %TEMP%\35688407\yrpns
- %TEMP%\35688407\ini
- %TEMP%\35688407\run.vbs
- %TEMP%\35688407\fomaj
- %TEMP%\35688407\start.vbs
- %TEMP%\35688407\start.cmd
- %TEMP%\35688407\gnupm
- %TEMP%\35688407\ycufw
- %TEMP%\35688407\emqou
- %TEMP%\35688407\ugblb
- %TEMP%\35688407\mvpal
- %TEMP%\35688407\yumso
- %TEMP%\35688407\mmqqu
- %TEMP%\35688407\uvkcn
- %TEMP%\35688407\bjg.txt
- %TEMP%\35688407\uqd.ico
- %TEMP%\35688407\isg.mp4
- %TEMP%\35688407\dnh.mp4
- %TEMP%\35688407\apb=emd
- %TEMP%\35688407\xqi.vbs
- %TEMP%\35688407\fof.exe
- %TEMP%\35688407\mas.ico
- %TEMP%\35688407\tmi.xl
- %TEMP%\35688407\uit.docx
- %TEMP%\35688407\nap.mp4
- %TEMP%\35688407\dbr.docx
- %TEMP%\35688407\hwd.ico
- %TEMP%\35688407\kch.docx
- %TEMP%\35688407\vhi.mp4
- %TEMP%\35688407\fph.jpg
- %TEMP%\35688407\xkw.pdf
- %TEMP%\35688407\orw.mp4
- %TEMP%\35688407\tnl.jpg
- %TEMP%\35688407\wkt.icm
- %TEMP%\35688407\ukt.txt
- %TEMP%\35688407\sev.jpg
- %TEMP%\35688407\iqa.pdf
- %TEMP%\35688407\aqw.icm
- %TEMP%\35688407\pke.ppt
- %TEMP%\35688407\lig.xl
- %TEMP%\35688407\ntq.mp3
- %TEMP%\35688407\gro.dat
- %TEMP%\35688407\psl.dat
- %TEMP%\35688407\agf.mp3
- %TEMP%\35688407\sqq.docx
- %TEMP%\35688407\dsh.mp4
- %TEMP%\35688407\utl.jpg
- %TEMP%\35688407\tgc.jpg
- %TEMP%\35688407\dva.icm
- %TEMP%\35688407\rxdhf
Sets the 'hidden' attribute to the following files
- %TEMP%\35688407\fof.exe
- %TEMP%\35688407\ntq.mp3
- %TEMP%\35688407\olo.docx
- %TEMP%\35688407\orw.mp4
- %TEMP%\35688407\pke.ppt
- %TEMP%\35688407\pnx.txt
- %TEMP%\35688407\psl.dat
- %TEMP%\35688407\sev.jpg
- %TEMP%\35688407\sqq.docx
- %TEMP%\35688407\tgc.jpg
- %TEMP%\35688407\tmi.xl
- %TEMP%\35688407\tnl.jpg
- %TEMP%\35688407\ukt.txt
- %TEMP%\35688407\start.cmd
- %TEMP%\35688407\uqd.ico
- %TEMP%\35688407\utl.jpg
- %TEMP%\35688407\veh.ico
- %TEMP%\35688407\vhi.mp4
- %TEMP%\35688407\wkt.icm
- %TEMP%\35688407\wlw.docx
- %TEMP%\35688407\xef.ppt
- %TEMP%\35688407\xkw.pdf
- %TEMP%\35688407\xqi.vbs
- %TEMP%\35688407\ini
- %TEMP%\35688407\run.vbs
- %TEMP%\35688407\nap.mp4
- %TEMP%\35688407\uit.docx
- %TEMP%\35688407\mas.ico
- %TEMP%\35688407\dsh.mp4
- %TEMP%\35688407\agf.mp3
- %TEMP%\35688407\ahe.ico
- %TEMP%\35688407\apb=emd
- %TEMP%\35688407\aqw.icm
- %TEMP%\35688407\bbj.icm
- %TEMP%\35688407\bjg.txt
- %TEMP%\35688407\buf.bmp
- %TEMP%\35688407\bva.ppt
- %TEMP%\35688407\dbr.docx
- %TEMP%\35688407\dnh.mp4
- %TEMP%\35688407\dnk.docx
- %TEMP%\35688407\dva.icm
- %TEMP%\35688407\lig.xl
- %TEMP%\35688407\fph.jpg
- %TEMP%\35688407\ftw.docx
- %TEMP%\35688407\gmk.pdf
- %TEMP%\35688407\gmn.ppt
- %TEMP%\35688407\gro.dat
- %TEMP%\35688407\hwd.ico
- %TEMP%\35688407\iqa.pdf
- %TEMP%\35688407\isg.mp4
- %TEMP%\35688407\kch.docx
- %TEMP%\35688407\kkt.ppt
- %TEMP%\35688407\kvt.jpg
- %TEMP%\35688407\lle.icm
- %TEMP%\35688407\start.vbs
Deletes the following files
- %TEMP%\35688407\yrpns
- %TEMP%\35688407\fomaj
- %TEMP%\35688407\gnupm
- %TEMP%\35688407\ycufw
- %TEMP%\35688407\emqou
- %TEMP%\35688407\ugblb
- %TEMP%\35688407\mvpal
- %TEMP%\35688407\yumso
- %TEMP%\35688407\mmqqu
- %TEMP%\35688407\uvkcn
- %TEMP%\35688407\njunv
- %TEMP%\35688407\rxdhf
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
Creates and executes the following
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\35688407\xqi.vbs"
- '%TEMP%\35688407\fof.exe' apb=emd
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\YRPNS
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\35688407\run.vbs"
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\FOMAJ
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\GNUPM
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\YCUFW
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\EMQOU
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\UGBLB
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\MVPAL
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\YUMSO
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\MMQQU
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\UVKCN
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\NJUNV
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\RXDHF
