Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\nwkp\ODFREG~1.EXE %TEMP%\nwkp\vxsv.xml'
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Modifies file system
Creates the following files
- %TEMP%\nwkp\rlsmd.tkd
- %TEMP%\nwkp\tmgmedlsgi.pdf
- %TEMP%\nwkp\qltovjqdr.bmp
- %TEMP%\nwkp\ihtm.xls
- %TEMP%\nwkp\dugm.pdf
- %TEMP%\nwkp\fkhxcig.ini
- %TEMP%\nwkp\wctbjs.txt
- %TEMP%\nwkp\diigxjk.ppt
- %TEMP%\nwkp\ocecntl.msc
- %TEMP%\nwkp\owgaj.bin
- %TEMP%\nwkp\jiqi.exe
- %TEMP%\nwkp\tgccr.jpg
- %TEMP%\nwkp\rddijipfrx.xl
- %TEMP%\nwkp\nrdqua.dat
- %TEMP%\nwkp\nbdvhatnr.dll
- %TEMP%\nwkp\isivslqf.docx
- %TEMP%\nwkp\ugxnvatu.jpg
- %TEMP%\nwkp\jabofogo.dat
- %TEMP%\nwkp\pdln.pdf
- %TEMP%\nwkp\rlci.txt
- %TEMP%\nwkp\ekmhugwu.mp3
- %TEMP%\nwkp\xqsju.xl
- %TEMP%\nwkp\jjmhvr.bin
- %TEMP%\nwkp\wfjfooojw.msc
- %TEMP%\nwkp\osiedbor.docx
- %TEMP%\nwkp\xbaifbb.dll
- %TEMP%\nwkp\wvsoudkujb.dat
- %TEMP%\nwkp\fnam.xml
- %TEMP%\nwkp\heobt.ppt
- %TEMP%\nwkp\rxaviip.exe
- %TEMP%\nwkp\frxx.pdf
- %TEMP%\nwkp\afhgfn.xml
- %TEMP%\nwkp\qgpfikakv.docx
- %TEMP%\nwkp\osuxxj.xml
- %TEMP%\nwkp\hbuwrxuep.ppt
- %TEMP%\nwkp\picdqtcj.ppt
- %TEMP%\nwkp\anwacuruhw.bin
- %TEMP%\nwkp\kqmm.mp3
- %TEMP%\nwkp\likq.mp3
- %TEMP%\nwkp\weesmj.mp3
- %TEMP%\nwkp\chknsb.xls
- %TEMP%\nwkp\wlrjen.xls
- %TEMP%\nwkp\homrtbpb.bmp
- %TEMP%\nwkp\vjxusipwwp.icm
- %TEMP%\nwkp\bpsomrken.pdf
- %TEMP%\nwkp\xhus.xml
- %TEMP%\nwkp\istvbj.docx
- %TEMP%\nwkp\iroqllmehc.xml
- %TEMP%\nwkp\epbujkd.icm
- %TEMP%\nwkp\iojm.jpg
- %TEMP%\nwkp\ojmfaudn.txt
- %TEMP%\nwkp\jjpgmljara.xl
- %TEMP%\nwkp\nfdwkc.xl
- %TEMP%\nwkp\kdifbhm.bmp
- %TEMP%\nwkp\ditfc.pdf
- %TEMP%\nwkp\wsqhstvb.jpg
- %TEMP%\nwkp\qbqgmiswk.xl
- %TEMP%\nwkp\spirsq.bmp
- %TEMP%\nwkp\gjten.msc
- %TEMP%\nwkp\hjbrukcevu.msc
- %TEMP%\nwkp\ohlovu.txt
- %TEMP%\nwkp\bkfhgtrj.dll
- %TEMP%\nwkp\mpcsuxvws.mp3
- %TEMP%\nwkp\kqvqnajfpu.dll
- %TEMP%\nwkp\cvts.msc
- %TEMP%\nwkp\vnhqxko.ini
- %TEMP%\nwkp\mexrij.bin
- %TEMP%\nwkp\lmjogkvsj.txt
- %TEMP%\nwkp\msnjw.msc
- %TEMP%\nwkp\wsbpmg.jpg
- %TEMP%\nwkp\kpnccn.ini
- %TEMP%\nwkp\oqbh.icm
- %TEMP%\nwkp\eacvx.xls
- %TEMP%\nwkp\mkjvkqvm.xml
- %TEMP%\nwkp\qhxuhhlq.icm
- %TEMP%\nwkp\pbtv.pdf
- %TEMP%\nwkp\quwm.bmp
- %TEMP%\nwkp\vtij.ini
- %TEMP%\nwkp\wjfpt.icm
- %TEMP%\nwkp\pniaso.ppt
- %TEMP%\nwkp\mfqbcdgmm.icm
- %TEMP%\nwkp\oqjilwp.bmp
- %TEMP%\nwkp\drqgbjdhar.pdf
- %TEMP%\nwkp\xcbgj.msc
- %TEMP%\nwkp\uokclmg.ini
- %TEMP%\nwkp\kmwqfrmdnk.txt
- %TEMP%\nwkp\gnnfi.xml
- %TEMP%\nwkp\ewrbh.exe
- %TEMP%\nwkp\jrosl.ppt
- %TEMP%\nwkp\sdmpdaus.jpg
- %TEMP%\nwkp\takqpc.dll
- %TEMP%\nwkp\jqontc.msc
- %TEMP%\nwkp\tbhctduok.bmp
- %TEMP%\nwkp\fcndqh.icm
- %TEMP%\nwkp\iqcix.icm
- %TEMP%\nwkp\jshjdmfgbj.bmp
- %TEMP%\nwkp\wwaapv.mp3
- %TEMP%\nwkp\pqibhbrh.msc
- %TEMP%\nwkp\ncirkrvjj.xls
- %TEMP%\nwkp\bqnikjc.icm
- %TEMP%\nwkp\kftdbckcml.xls
- %TEMP%\nwkp\qspiruae.jpg
- %TEMP%\nwkp\sjaabm.exe
- %TEMP%\nwkp\dfkt.msc
- %TEMP%\nwkp\jtdjbuxbo.msc
- %TEMP%\nwkp\hpbaa.xml
- %TEMP%\nwkp\rgcvsgxxx.pdf
- %TEMP%\nwkp\btvibhmbb.docx
- %TEMP%\nwkp\ciqtcuo.txt
- %TEMP%\nwkp\dlakcok.exe
- %TEMP%\nwkp\sducthenb.icm
- %TEMP%\nwkp\vhorsb.dat
- %TEMP%\nwkp\hfadvmhxxb.jpg
- %TEMP%\nwkp\hunxuvdr.xls
- %TEMP%\nwkp\ceiixv.icm
- %TEMP%\nwkp\rlltthjon.ppt
- %TEMP%\nwkp\jfbg.bin
- %TEMP%\nwkp\jvxjjwc.xls
- %TEMP%\nwkp\gmawvu.ini
- %TEMP%\nwkp\brbwwi.pdf
- %TEMP%\nwkp\ivwccgwxh.jpg
- %TEMP%\nwkp\xwswbq.ppt
- %TEMP%\nwkp\gjhqdvrtjm.docx
- %TEMP%\nwkp\hgvk.exe
- %TEMP%\nwkp\htsk.ppt
- %TEMP%\nwkp\rptondc.mp3
- %TEMP%\nwkp\vaoawwdqjw.mp3
- %TEMP%\nwkp\xjhfoxneqq.docx
- %TEMP%\nwkp\dhnenhwbfo.pdf
- %TEMP%\nwkp\bpcfwej.xml
- %TEMP%\nwkp\jvknxfvs.xl
- %TEMP%\nwkp\mvtw.dat
- %TEMP%\nwkp\lxgfm.docx
- %TEMP%\nwkp\kqtfnnobn.icm
- %TEMP%\nwkp\owtpn.xl
- %TEMP%\nwkp\hnak.dat
- %TEMP%\nwkp\uoqdpwgjxm.icm
- %TEMP%\nwkp\qlxicaepne.pdf
- %TEMP%\nwkp\aigpwgv.msc
- %TEMP%\nwkp\xtomuhfenn.icm
- %TEMP%\nwkp\lrhkbr.bmp
- %TEMP%\nwkp\rtmdsa.icm
- %TEMP%\nwkp\kxlbonfofl.txt
- %TEMP%\nwkp\tohc.xml
- %TEMP%\nwkp\qkdbhlj.txt
- %TEMP%\nwkp\knpudet.msc
- %TEMP%\nwkp\msaxdx.msc
- %TEMP%\nwkp\vwggttod.icm
- %TEMP%\nwkp\adcff.icm
- %TEMP%\nwkp\tsipkwr.icm
- %TEMP%\nwkp\smlgrgdstj.icm
- %TEMP%\nwkp\gmtjl.xml
- %TEMP%\nwkp\tflrvjhwxr.xl
- %TEMP%\nwkp\gfeq.xml
- %TEMP%\nwkp\nbsxbgg.bin
- %TEMP%\nwkp\olvxw.xls
- %TEMP%\nwkp\ndsmh.pdf
- %TEMP%\nwkp\vjktmadc.bin
- %TEMP%\nwkp\eakfosho.txt
- %TEMP%\nwkp\kobiuvx.msc
- %TEMP%\nwkp\xnomxp.icm
- %TEMP%\nwkp\gfdewnke.jpg
- %TEMP%\nwkp\hncrcbuds.icm
- %TEMP%\nwkp\evef.docx
- %TEMP%\nwkp\ogqxnwxnp.xls
- %TEMP%\nwkp\jijbdslp.exe
- %TEMP%\nwkp\ccrigha.bmp
- %TEMP%\nwkp\rxsnqj.exe
- %TEMP%\nwkp\dehamaqpvi.bmp
- %TEMP%\nwkp\puxf.jpg
- %TEMP%\nwkp\nrxv.ppt
- %TEMP%\nwkp\wenxhvf.dll
- %TEMP%\nwkp\xdkdelgjv.icm
- %TEMP%\nwkp\xwtosiwpiw.xml
- %TEMP%\nwkp\abodt.bin
- %TEMP%\nwkp\kkipanfbq.mp3
- %TEMP%\nwkp\mcil.mp3
- %TEMP%\nwkp\nqndntokqf.ppt
- %TEMP%\nwkp\ukobmcqi.dll
- %TEMP%\nwkp\eitqmh.xls
- %TEMP%\nwkp\shqspit.msc
- %TEMP%\nwkp\bebwskggpr.exe
- %TEMP%\nwkp\gvftqu.pdf
- %TEMP%\nwkp\accml.xls
- %TEMP%\nwkp\pxuwddb.xml
- %TEMP%\nwkp\dawmlqllq.icm
- %TEMP%\nwkp\qtxrqggpfo.msc
- %TEMP%\nwkp\ekttlv.exe
- %TEMP%\nwkp\nifdov.xls
- %TEMP%\nwkp\qrkhogo.exe
- %TEMP%\nwkp\dgdjfxrkev.icm
- %TEMP%\nwkp\knjsb.bmp
- %TEMP%\nwkp\tvjdgmqpm.icm
- %TEMP%\nwkp\uemrww.icm
- %TEMP%\nwkp\kejkmo.docx
- %TEMP%\nwkp\dkmjnuj.docx
- %TEMP%\nwkp\fnawuraj.exe
- %TEMP%\nwkp\ocxcqubwd.bmp
- %TEMP%\nwkp\lejwspebvk.xml
- %TEMP%\nwkp\mplkovwb.xls
- %TEMP%\nwkp\bqivvm.dll
- %TEMP%\nwkp\jgcaqk.icm
- %TEMP%\nwkp\enefh.msc
- %TEMP%\nwkp\nvfphdrpjj.txt
- %TEMP%\nwkp\tswoaoeo.bmp
- %TEMP%\nwkp\ioxjhvfocc.msc
- %TEMP%\nwkp\pjngxvww.mp3
- %TEMP%\nwkp\mvksd.ini
- %HOMEPATH%\temp\jotbk.docx
- %TEMP%\nwkp\kfclqfvwkl.bmp
- %TEMP%\nwkp\lfcg.msc
- %TEMP%\nwkp\edwprsqg.ini
- %TEMP%\nwkp\hqqwhswav.pdf
- %TEMP%\nwkp\dcqtexhwsx.dat
- %TEMP%\nwkp\nwcclgt.icm
- %TEMP%\nwkp\ulaiobt.pdf
- %TEMP%\nwkp\rqdasilbpx.xls
- %TEMP%\nwkp\dwgdmkrqq.ppt
- %TEMP%\nwkp\orild.jpg
- %TEMP%\nwkp\gwngpwb.msc
- %TEMP%\nwkp\jevrbr.txt
- %TEMP%\nwkp\joqhfgc.bmp
- %TEMP%\nwkp\sfsgw.txt
- %TEMP%\nwkp\waorvha.bin
- %TEMP%\nwkp\ixvac.icm
- %TEMP%\nwkp\xgnctr.xml
- %TEMP%\nwkp\inucna.txt
- %TEMP%\nwkp\fmphubbcj.msc
- %TEMP%\nwkp\gpdldcx.msc
- %TEMP%\nwkp\qwrvnai.xml
- %TEMP%\nwkp\xrgafk.ppt
- %TEMP%\nwkp\miwr.txt
- %TEMP%\nwkp\rdmscudv.bin
- %TEMP%\nwkp\rmxb.dat
- %TEMP%\nwkp\ijtij.icm
- %TEMP%\nwkp\bnlvsn.pdf
- %TEMP%\nwkp\xxbsl.txt
- %TEMP%\nwkp\xxjeqolk.bmp
- %TEMP%\nwkp\osrn.jpg
- %TEMP%\nwkp\quajhvpxg.xls
- %TEMP%\nwkp\hpjg.xml
- %TEMP%\nwkp\exwm.ini
- %TEMP%\nwkp\wkudl.jpg
- %TEMP%\nwkp\pxcrwqtvxf.msc
- %TEMP%\nwkp\pvuljkqth.ini
- %TEMP%\nwkp\uundn.xls
- %TEMP%\nwkp\cgdup.msc
- %TEMP%\nwkp\poujwqo.exe
- %TEMP%\nwkp\qeort.mp3
- %TEMP%\nwkp\wptep.xl
- %TEMP%\nwkp\tfrsghkc.icm
- %TEMP%\nwkp\cncwemdhj.msc
- %TEMP%\nwkp\mnpk.xl
- %TEMP%\nwkp\limsftdb.pdf
- %TEMP%\nwkp\niqc.xml
- %TEMP%\nwkp\wtvjv.bmp
- %TEMP%\nwkp\qjxqovsuu.pdf
- %TEMP%\nwkp\uoolr.ini
- %TEMP%\nwkp\fhgfrs.txt
- %TEMP%\nwkp\kifruwtm.icm
- %TEMP%\nwkp\etgcrk.dat
- %TEMP%\nwkp\uchtvls.pdf
- %TEMP%\nwkp\xdsqdcag.jpg
- %TEMP%\nwkp\hkbtfuugr.ppt
- %TEMP%\nwkp\htbskpv.dll
- %TEMP%\nwkp\jajsqtb.ini
- %TEMP%\nwkp\vtvl.dll
- %TEMP%\nwkp\ohlnunwbpo.pdf
- %TEMP%\nwkp\iahmiuneo.xml
- %TEMP%\nwkp\nhixirj.bmp
- %TEMP%\nwkp\rvdoog.bmp
- %TEMP%\nwkp\xuhlxb.xl
- %TEMP%\nwkp\fdcqnt.jpg
- %TEMP%\nwkp\newhf.bin
- %TEMP%\nwkp\uljlahwco.bin
- %TEMP%\nwkp\qpqt.pdf
- %TEMP%\nwkp\csenqccaur.dat
- %TEMP%\nwkp\hefqpl.bin
- %TEMP%\nwkp\kdxbwxcka.bin
- %TEMP%\nwkp\cpdqgs.jpg
- %TEMP%\nwkp\bulmjlfcw.mp3
- %TEMP%\nwkp\odfregcpe.exe
- %TEMP%\nwkp\jqvijxfmr-bkeitimlhf.mp3.vbe
- %TEMP%\nwkp\vxsv.xml
- %TEMP%\nwkp\jotbk.docx
- %TEMP%\nwkp\rdkuhnfx.xml
- %TEMP%\nwkp\mnchcmxvbx.mp3
- %TEMP%\nwkp\reboi.dll
- %TEMP%\nwkp\rbukee.txt
- %TEMP%\nwkp\dfos.bmp
- %TEMP%\nwkp\gfftkgtp.bin
- %TEMP%\nwkp\sdfaaf.ppt
- %TEMP%\nwkp\ueiema.ini
- %TEMP%\nwkp\rdkxc.icm
- %TEMP%\nwkp\bqrx.bmp
- %TEMP%\nwkp\tjmdidbhdr.icm
- %TEMP%\nwkp\boso.msc
- %TEMP%\nwkp\bsilrsknvg.mp3
- %TEMP%\nwkp\aflfasc.xml
- %TEMP%\nwkp\eebd.xl
- %TEMP%\nwkp\grekqeqm.ini
- %TEMP%\nwkp\cjvjaddqdg.msc
- %TEMP%\nwkp\esus.pdf
- %TEMP%\nwkp\wqrg.xml
- %TEMP%\nwkp\okmtrnvps.icm
- %TEMP%\nwkp\xeckrgmxt.msc
- %TEMP%\nwkp\otqujgmo.pdf
- %TEMP%\nwkp\eicuts.txt
- %TEMP%\nwkp\ogtkkueau.bin
- %TEMP%\nwkp\luxnt.icm
- %TEMP%\nwkp\ejtporn.mp3
- %TEMP%\nwkp\tmofph.icm
- %TEMP%\nwkp\fgiur.xml
- %TEMP%\nwkp\dtvescxh.xls
- %TEMP%\nwkp\eopws.xl
- %TEMP%\nwkp\ewqmrxck.icm
- %TEMP%\nwkp\schgd.bin
- %TEMP%\nwkp\qjndxilgh.pdf
- %TEMP%\nwkp\xujvng.bin
- %TEMP%\nwkp\onneiksm.msc
- %TEMP%\nwkp\pkvuij.exe
- %TEMP%\nwkp\uidfuqxglh.xl
- %TEMP%\nwkp\shffstj.xml
- %TEMP%\nwkp\oeeruxqvwe.xml
- %TEMP%\nwkp\kltik.msc
- %TEMP%\nwkp\fbta.xls
- %TEMP%\nwkp\sgiaglmag.ini
- %TEMP%\nwkp\efnpt.msc
- %TEMP%\nwkp\pborxc.dat
- %TEMP%\nwkp\amtwnr.msc
- %TEMP%\nwkp\mtntvlubpe.txt
- %TEMP%\nwkp\qqxu.mp3
- %TEMP%\nwkp\imcitqag.msc
- %TEMP%\nwkp\tflugrbwx.xls
- %TEMP%\nwkp\gppeongjl.ppt
- %TEMP%\nwkp\ujvuqhns.exe
- %TEMP%\nwkp\fgeegf.txt
- %TEMP%\nwkp\udhspp.msc
- %TEMP%\nwkp\amdw.ppt
- %TEMP%\nwkp\rnamke.ppt
- %TEMP%\nwkp\bdrpvxs.dat
- %TEMP%\nwkp\tfcmnxegvh.icm
- %TEMP%\nwkp\tpweeaqnt.docx
- %TEMP%\nwkp\rajvrdr.exe
- %TEMP%\nwkp\fjugujacxt.txt
- %TEMP%\nwkp\qkabgaxoq.docx
- %TEMP%\nwkp\hrteeom.xl
- %TEMP%\nwkp\mlxavqmotf.dll
- %TEMP%\nwkp\mmwdotfgdr.xl
- %TEMP%\nwkp\memerjx.xls
- %TEMP%\nwkp\qrkcrsjdc.ini
- %TEMP%\nwkp\qgsxsiiitv.bin
- %TEMP%\nwkp\ssmdhqpft.dat
- %TEMP%\nwkp\bqruhwnaj.mp3
- %TEMP%\nwkp\slkqi.icm
- %TEMP%\nwkp\gcvscexmh.dat
- %TEMP%\nwkp\mltwxx.txt
- %TEMP%\nwkp\fppmbhh.dll
- %TEMP%\nwkp\elihfp.ini
- %TEMP%\nwkp\dkkb.xml
- %TEMP%\nwkp\bucngp.ppt
- %TEMP%\nwkp\dmkbjlh.mp3
- %TEMP%\nwkp\rgtg.ppt
- %TEMP%\nwkp\vwiuwucen.xml
- %TEMP%\nwkp\rrhbtvk.pdf
- %TEMP%\nwkp\kobiuarq.ini
- %TEMP%\nwkp\mlasrbocwn.icm
- %TEMP%\nwkp\wxkxpromx.msc
- %TEMP%\nwkp\sjrfmlfc.exe
- %TEMP%\nwkp\xcxkkekb.icm
- %TEMP%\nwkp\dwtgoqt.bin
- %TEMP%\nwkp\xudjxgeg.mp3
- %TEMP%\nwkp\rggaqdvcur.bmp
- %TEMP%\nwkp\cxuhuaqnd.xml
- %TEMP%\nwkp\bvpop.xls
- %TEMP%\nwkp\egpf.xls
- %TEMP%\nwkp\lomdroc.exe
- %TEMP%\nwkp\qvhavwlxfx.exe
- %TEMP%\nwkp\dpgcih.mp3
- %TEMP%\nwkp\hkgj.icm
- %TEMP%\nwkp\mslrxsmgkl.dll
- %TEMP%\nwkp\xmdiq.xls
- %TEMP%\nwkp\vebtqxsrck.xml
- %TEMP%\nwkp\hsgr.txt
- %TEMP%\nwkp\eichth.dat
- %TEMP%\nwkp\gvda.msc
- %TEMP%\nwkp\qbqsglgc.bmp
- %TEMP%\nwkp\ochldsbd.xml
- %TEMP%\nwkp\brtjr.xls
- %TEMP%\nwkp\punx.xml
- %TEMP%\nwkp\bdva.xl
- %TEMP%\nwkp\hkoxw.xls
- %TEMP%\nwkp\hfpb.icm
- %TEMP%\nwkp\brvveitp.ppt
- %TEMP%\nwkp\iaelx.xls
- %TEMP%\nwkp\lvmklwbgmt.pdf
- %TEMP%\nwkp\qvuphjnks.ppt
- %TEMP%\nwkp\idrct.msc
- %TEMP%\nwkp\gadjr.docx
- %TEMP%\nwkp\dvtfx.pdf
- %TEMP%\nwkp\rutbl.bin
- %TEMP%\nwkp\ckwn.txt
- %TEMP%\nwkp\utvcm.msc
- %TEMP%\nwkp\lmqidspu.bmp
- %TEMP%\nwkp\xxokqcibep.dll
- %TEMP%\nwkp\ctvkjnx.msc
- %TEMP%\nwkp\qkgmoo.xl
- %TEMP%\nwkp\ibcfkk.pdf
- %TEMP%\nwkp\tphua.icm
- %TEMP%\nwkp\irvhmqsr.dat
- %TEMP%\nwkp\ndbxs.msc
- %TEMP%\nwkp\jlebra.msc
- %TEMP%\nwkp\cdirkvsr.ppt
- %TEMP%\nwkp\tggsrdvxl.msc
- %TEMP%\nwkp\apecbxpo.jpg
- %TEMP%\nwkp\pqptkqakb.xml
- %TEMP%\nwkp\dhngxqv.bin
- %TEMP%\nwkp\touu.bin
- %TEMP%\nwkp\bnegvucbk.icm
- %TEMP%\nwkp\ucdpcgr.xl
- %TEMP%\nwkp\run.vbs
Sets the 'hidden' attribute to the following files
- %TEMP%\nwkp\odfregcpe.exe
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
Creates and executes the following
- '%TEMP%\nwkp\odfregcpe.exe' vxsv.xml
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\nwkp\run.vbs"
Executes the following
- '%WINDIR%\syswow64\wscript.exe' jqvijxfmr-bkeitimlhf.mp3.vbe
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
