Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'WindowsUpdate' = ''
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'TPZ05NU' = '%ProgramFiles(x86)%\Windows Media Player\wmplayer.exe'
Malicious functions
Executes the following (exploit)
- '%WINDIR%\syswow64\cmd.exe' /C rundll32 %tmp%\Client.txt,IEX A C
- '%WINDIR%\syswow64\mstsc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- winword.exe
- firefox.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\syswow64\autochk.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Modifies file system
Creates the following files
- %TEMP%\client.txt
- %TEMP%\cveh1.zip
- %TEMP%\sqlite3.def
- %TEMP%\sqlite3.dll
- %TEMP%\2721537727
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Deletes the following files
- %TEMP%\client.txt
Network activity
Connects to
- 'so###iphone.com':80
- 'sq##te.org':80
- 'qs##7.com':80
- 'fr###deals.buzz':80
- 'sa###inizim.com':80
- 'st####comunity.com':80
TCP
HTTP GET requests
- http://www.so###iphone.com/6rpu/?p6#################################################################################################################
- http://www.sq##te.org/2020/sqlite-dll-win32-x86-3320000.zip
- http://www.qs##7.com/6rpu/?p6#################################################################################################################
- http://www.fr###deals.buzz/6rpu/?p6#################################################################################################################
- http://www.sa###inizim.com/6rpu/?p6#################################################################################################################
- http://www.so###iphone.com/6rpu/?pL#################################################################################################################
- http://www.qs##7.com/6rpu/?pL#################################################################################################################
- http://www.fr###deals.buzz/6rpu/?pL#################################################################################################################
- http://www.sa###inizim.com/6rpu/?pL#################################################################################################################
- http://www.st####comunity.com/6rpu/?pL#################################################################################################################
HTTP POST requests
- http://www.qs##7.com/6rpu/
- http://www.fr###deals.buzz/6rpu/
- http://www.sa###inizim.com/6rpu/
- http://www.so###iphone.com/6rpu/
- http://www.st####comunity.com/6rpu/
UDP
- DNS ASK so###iphone.com
- DNS ASK sq##te.org
- DNS ASK qs##7.com
- DNS ASK fr###deals.buzz
- DNS ASK sa###inizim.com
- DNS ASK st####comunity.com
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\cmd.exe' /C rundll32 %tmp%\Client.txt,IEX A C' (with hidden window)
- '%ProgramFiles(x86)%\windows media player\wmplayer.exe' %TEMP%\Client.txt,IEX A C' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\Client.txt,IEX A C
- '<SYSTEM32>\rundll32.exe' %TEMP%\Client.txt,IEX A C
- '%ProgramFiles(x86)%\windows media player\wmplayer.exe' %TEMP%\Client.txt,IEX A C
- '%ProgramFiles%\mozilla firefox\firefox.exe'
