Yara Resources

Yara Project by Víctor Manuel Álvarez   

Yara Exchange Google Group - exchange yara signatures, tools, resources, and ideas. 170+ members as of Feb.2013





Notable Yara related publications by date:

• 2013-08 http://yaragenerator.com/ YaraGenerator is an open-source toolset which allows for quick, effective, and automatic YARA signature creation from a number of malicious filetypesi (Executables, Office, PDF, Java, HTML, and more)
• 2013-02 MASTIFF with Yara Plugin by Klayton Monroe and Tyler Hudak. MASTIFF is a static analysis framework that automates the process of extracting key characteristics from a number of different file formats. 
• 2013-02 Using Cuckoobox, Yara, Volatility and Hopper Disassembler to analyze APT1 malware by Chort Z. Row
• 2012-01  Installing Latest Yara That Works With Automake-1.11 (Yara v1.7) by Chort
• 2013-01  Yara – Rule-based malware detection and analysis by Dejan Lukan 
• 2013-01  Yaraprocessor  by Stephen DiCato -MITRE Yaraprocessor allows you to scan data streams in few unique ways. It supports scanning data streams in discrete chunks, or buffers. 
• 2013-01  ChopShop ChopShop is a MITRE developed framework to aid analysts in the  creation and execution of pynids based decoders and detectors of APT tradecraft.
• 2013-02  Working with Yara. Security Flux  
• 2013-02  Yara Rules for APT1/Comment Crew malware arsenal
• 2013-01  Yara-goodies by Hiddenillusion 
• 2012-12  Yara Editor  by Ivan Fontarensky
• 2012       Malware.lu Yara signatures for some malware samples
• 2012-10  Moloch by AOL team Moloch is a IPv4 packet capturing (PCAP), indexing and database system.  A simple web interface is provided for PCAP browsing, searching, and exporting. Moloch is not meant to replace IDS engines but instead work along side them to store and index all the network traffic in standard PCAP format, providing fast access. Moloch is built to be deployed across many systems and can scale to handle multiple gigabits/sec of traffic
• 2012-12  Peid signatures converted to Yara signatures  by AlienVault
• 2012-12  Fighting Back Malware with IOC & Yara OSSIR Paris, 2012.12.11Saâd Kadhi
• 2012-12  G-Yara - a Web based (PHP) yara rule editor. It's a handy way to test yara rules as you write them.
• 2012-11  Writing Effective YARA Signatures to Identify Malware by David French
• 2012-10  Yara-normalize by Chris Lee. Normalizes Yara Signatures into a repeatable hash even when non-transforming changes are made. 
• 2012-10  Peid4yara is the conversion of the PEiD signatures to work with the active Yara Malware Classifer 
• 2012-10  Yarad and Ppyarad - Yarad deploys a server that can be used to scan files and streams centrally with yara and your own ruleset. Pyarad allows you to interact with yarad server from your python scripts.  AlienvaultLabs
• 2012-10  MIDAS Metadata Inspection Database Alerting System (This is a project to create a system to automate the inspection and databasing of all Meta data information contained within all files destined for an organization (generally via dumping the files which are attached to emails through the use of YARA, but could also be automated via netwitness, other full pcap tool, or just to iterate through file servers looking for suspicious files). Alternatively, this can be used to look for heuristic anomalies in existing collections of files both malicious and benign.
• 2012-08  Create YARA Signature Demonstration video of the CreateYaraSignature.py 
• 2012-08  Yara Signature Creation with IDA by Case Barnes from AccuvantLabs
• 2012-07  Yarascan plugin for Volatility Framework
• 2012-04  Extracting Binary patterns in malware sets  (useful tool but has limitations on the number of files it will process and does not take into account the role of matching bytes that files share.
• 2011-01  Creating a Yara Signature for Shellcode 
• 2011       Converting ClamAV signatures for Yara Malware Analyst's Cookbook and DVD: Tools and Techniques for Fighting Malicious Code Recipe 3-3 
• 2011-08  Ruby bindings for the yara malware analysis library. Eric Monti
• 2011-12  Yara C-ICAP Server Module by Fyodor Grave 
• 2011-11  An Intro to Creating Anti-Virus Signatures by Alexander Hanel 
• 2011-11  Tools to scan the file system with custom malware signatures by Lenny Zeltser 
• 2010       UltraEdit and TextMate code highlighting bundles for Yara 
• 2009       Scout Sniper (scoutsniper) is a wrapper program for the Yara malware identification and classification tool and the Fuzzy Hashing program ssdeep.  scoutsniper is designed to run all of the files in a designated directory against a designated Yara Rule file or ssdeep’s Fuzzy dynamic linked library (fuzzy.dll).
• 2009        Got your YARA?? Windows Incident Response blog

Trojan Nap aka Kelihos/Hlux - Feb. 2013 Status Update

Update Feb 11, 2012 Regarding media headlines that it is a "new version": 
Please note that this post is a "status update" on the growth of the  Kelihos botnet. It is the same botnet and malware as we saw last year. The goal of the post is to highlight the rapid re-growth after the March 2012 takedown and share the recent known domain/name server data.

 FireEye posted details about the sleep function found in Kelihos/Hlux (An encounter with Trojan Nap), which is interesting, and indeed is present in some of the samples we saw. The trojan, of course, has many more features, and most of them were documented in previous publications online. This post is a quick update on the state of Kelihos/Hlux botnet, along with  the list of known fast flux domains (1500+) associated with with Kelihos distribution or Command&Control. (current > 2012).  The current and most active name servers are pointing to the ns[1-6].boomsco.com, ns[1-6].larstor.com, and ns[1-6].zempakiv.ru which are also fast flux domains. The double fast flux nature of the botnet makes it very difficult to take down, and sinkholing is a temporary measure. Despite the two large attempts to take it down (Sep.2011 and Mar. 2012), the botnet is definitely on the rise again. 

Previously published research about Kelihos

Feb. 2013 - An encounter with Trojan Nap - Fireeye

Feb. 2013 - Backdoor.Win32. Kelihos - Lavasoft Analysis

Jan.  2013 - Waledac Gets Cozy with Virut - Symantec (Symantec call Kelihos "Waledac (Kelihos)")

Jan. 2013 - Beware of Kelihos-2? - Portable Apps member note

Dec. 2012 - A Quick Update On Spambot Kelihos - abuse.ch

Mar. 2012 - Kelihos.B/Hlux.B botnet takedown  - Honeynet Project 

Mar. 2012 - Botnet Shutdown Success Story - again: Disabling the new Hlux/Kelihos Botnet - Securelist

Mar. 2012 - Kelihos: not Alien Resurrection, more Attack of the Clones - ESET

Mar. 2012 - FAQ: Disabling the new Hlux/Kelihos Botnet - Securelist

Mar. 2012 - Kelihos Back In Town Using Fast Flux - Abuse.ch
Feb. 2012 - Long life to Kelihos! - Websense / Gianluca Giuliani

Feb. 2012 - The where and why of HLUX - Securelist

Jan. 2012 - Kelihos/Hlux botnet returns with new techniques - Securelist

Sep. 2011 - Botnet Shutdown Success Story: How Kaspersky Lab Disabled the Hlux/Kelihos Botnet

Sep. 2011 - Microsoft Neutralizes Kelihos Botnet, Names Defendant in Case

Jan. 2011 - New P2P Botnet Arising - Securelist

Dec. 2010 - New Fast Flux Botnet for the Holidays: Could it be Storm Worm 3.0/Waledac 2.0? - Shadowserver

List of  recent MD5 hashes (you can download this sample set from Contagio. There are 95 files). 

01B43C0C8D620E8B88D846E4C9287CCD 036ADB0D4B856C2A5E16175BD089FF24 03F3B93A9B3D70D9BB9AD829A5F2361D 0481B4B12C8C69B735CAC2A918B52790 0530898731D7165DBABBF6BF252BA77E 08862142D7313A1D431D67E0E755EFC7 093586512549F2D016AD4C70F4F8E5C8 0BF067750C7406CF3373525DD09C293C 0C921935F0880B5C2161B3905F8A3069 0FEAAA4ADC31728E54B006AB9A7E6AFA 15B6DFADD045E8282C4927F8BDD69D3E 15B9C9632510FB4D387D4A02ABF830DD 1B342E6682167571B55AB59F3DD38D1E 1C04C6B4E0BBBC99CCEE489270C98622 1E08449CE5848B6ADFEE48B1582EAEEF
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

List of files  sorted by PE header Time Date stamp. It is not always indicative of age (and in this case all samples are recent -2013-2012) as the time stamp can be faked but can be helpful for finding variants.

1985-12
      84741D6DFFC996D35B8DC0A01111A5DE
   
2009
      23585DCBA9DFD4719ECC20B2D662D983
      A78BE2345E524515E0DD1CCCA3C524F9
   
2010-01
      03F3B93A9B3D70D9BB9AD829A5F2361D
      787F39D70D2BEC3139A6EA7690B88464
   
2010-02
      5B947FEAA5BFA951C94B11BB9EEA9BC3
   
2010-03
      288E85A4A7756268EBDED1F356531E03
   
2010-04
      0530898731D7165DBABBF6BF252BA77E
      15B6DFADD045E8282C4927F8BDD69D3E
   
2010-05
      B568CF0982C867CD499F953E43738511
      C465888536A6785883079043F38143BD
      CE391D2B2036365D8943257FE1CB967E
   
2010-06
      036ADB0D4B856C2A5E16175BD089FF24
      28A417B0EA5BE796720463607F06CCC9
   
2010-07
      51D3E04AF7E29A1E3A1748E03F0BD578
      70FD6A11E482D756BEF27546AA112206
      76B7BB0CC2E3623078BF9E9A9A343CE1
   
2010-11
      3D0F09DA5C5DBDB2124AEB0953F355B7
   
2010-12
      0FEAAA4ADC31728E54B006AB9A7E6AFA
   
2011-01
      9424EB9DE0558193A6B4D9607C23CBD5
      DFE01E12671BBDD7EC0F8BEBA08EC440
   
2011-02
      352A8AB0D5C7DB40F865B0E7E03B1D96
      BB5560123C62588988BC22C704CD9E03
   
2011-04
      D4CBEABAE5B4D4BAF14F554C8E9A4E86
   
2011-05
      1E08449CE5848B6ADFEE48B1582EAEEF
      B63F25D5B02FE00D9423A7CCC0C3CCE2
      C98F3F5709292D6D97AD96C1A8459A81
   
2011-07
      B66475ED30943C0056C9402DCAECB8B9
   
2011-08
      7F7E0C58BDF1E47059DD84FFB301F6B7
      DCE41A00FB703B6A6324CE4F4C4DB143
      F604C7E4EC3A12A83E0852A9D7FE75CA
   
2011-09
      396B88D48CC04A8C37F4409F65EA8A97
      72C1BEC266B23AF5CB12AE2F669D8784
      77E2D2A1E508EA30D548293E2C36D64F
      9C075FB471DC66394090C8BFAA4739A4
      C06414E1994BF4EFA41911CA81099411
      DF1A932144BF2C6E50FD090FDC1F1408
   
2011-10
      0C921935F0880B5C2161B3905F8A3069
      3D711B47C8FDE2C6A5E62D6AD0BA7BB5
      5ACA74320003576F79CF6EDD0629CC13
   
2011-11
      2B4A5F1C8225D9043AE1302DCCD7063B
      3774D5BD50F4286531FEDF716D83FC6E
      5BA7D2DE0CCC58F104240610BF297E6E
      9CA42C5B352DEFB53F8D30C16B36697A
   
2011-12
      E2F8F5C80566BF32E1841B3C5A669D42
   
2012-01
      F96EBF8128BFC6965C73A2659718C663
   
2012-02
      6F6B016A5DB1791188D7C98A464292CC
   
2012-03
      093586512549F2D016AD4C70F4F8E5C8
   
2012-04
      80E595253D3E02071D2564BA8296D308
   
2012-06
      08862142D7313A1D431D67E0E755EFC7
      223D32E3F6BB9C5A6AD3CD58B898EFA1
      5BECB2498EA801ED010DD073007E20CE
      5FFE38CA9FE07394D1BC5C270E83B253
      A910A324394B56022C7AC10DB22EC3F6
   
2012-07
      3B6A3354B71CD674D4BC27646D270502
      4C2DB57ED5D27F54120765A9FA9C3BC7
   
2012-08
      2304FA9A6A67984CA0FF9E9BF561817A
      7316D0EE9C0B6C23C7CEB2D04DC6B665
      EB4DBB18D00321A809A6C4D8594DDF5A
   
2012-10
      25B4C1C68C58D7D559E8682117D7C01F
      63C926F659C3EDEC0B85C91898622A4D
      6AA100C459E854A9A334B10468EAD014
      8005E44761B842370D43299B29B0F16A
      B1ABD1279A28F22B86A15D6DAFBC28A5
      DEAF70F248599985FC32B083F16F251A
   
2012-11
      766A50581F6E47FF94126C5DBBD9FB01
   
2012-12
      01B43C0C8D620E8B88D846E4C9287CCD
      15B9C9632510FB4D387D4A02ABF830DD
      1B342E6682167571B55AB59F3DD38D1E
      1C04C6B4E0BBBC99CCEE489270C98622
      30EA180ECE416600DABC5ADA0F630D06
      36C90E73120A419B4B00E66177040F43
      3A76AA2439112479635D7172DB2440B1
      44B342383E286465D74A838EE0780DDA
      56AD23082E5E73AAEB95E5A915DF5444
      69170C0C9FB4EEC6A630C4C9182505F0
      6B873B6D21ECC9ADF7246D644B23FB84
      7E1B91800F2FE9974C7BB18A7097D933
      9010DD12A1419E0F0098FD10CA324E23
      A15F02836309B819DE10068ED49D5D87
      A56577564E52251C54B27D4CA62C266F
      A8ABECD7C571AAEE6C964514133585F3
      CAAFD0C9B5DC0DAB8D1A3C1D5AF9EE94
      DE5FDBAD9274B21EA5391F48441D33D8
      EB17EB2F02FA871C005C569B3299FCBA
      F5A6FC81A4F5AE6DEBFAC463DD49E1C2
   
2013-01
      0481B4B12C8C69B735CAC2A918B52790
      223F7E425BD28AE13A54B2D0017D1E81
      2F091B59382F6CA9E1233EE38B171B2E
      49B6D19F9307C3BBA460C936ADE26B70
      A13B21423C5AE7BA318D0D26E672AD22
      CCA50DCB8A30B325BF10CED5DAE4D51A
      E453463A428A71A5DB19FC18807E747B
   
ÀÄÄÄ2013-02
        4B6DFE2A4B0EF515275AC84B378D5F6F
     
Folder PATH listing
Volume serial number is 40A1-15F9
C:\USERS\ADMIN\DESKTOP\ALL
³   log.txt
³
1985-12
      84741D6DFFC996D35B8DC0A01111A5DE
   
2009
      23585DCBA9DFD4719ECC20B2D662D983
      A78BE2345E524515E0DD1CCCA3C524F9
   
2010-01
      03F3B93A9B3D70D9BB9AD829A5F2361D
      787F39D70D2BEC3139A6EA7690B88464
   
2010-02
      5B947FEAA5BFA951C94B11BB9EEA9BC3
   
2010-03
      288E85A4A7756268EBDED1F356531E03
   
2010-04
      0530898731D7165DBABBF6BF252BA77E
      15B6DFADD045E8282C4927F8BDD69D3E
   
2010-05
      B568CF0982C867CD499F953E43738511
      C465888536A6785883079043F38143BD
      CE391D2B2036365D8943257FE1CB967E
   
2010-06
      036ADB0D4B856C2A5E16175BD089FF24
      28A417B0EA5BE796720463607F06CCC9
   
2010-07
      51D3E04AF7E29A1E3A1748E03F0BD578
      70FD6A11E482D756BEF27546AA112206
      76B7BB0CC2E3623078BF9E9A9A343CE1
   
2010-11
      3D0F09DA5C5DBDB2124AEB0953F355B7
   
2010-12
      0FEAAA4ADC31728E54B006AB9A7E6AFA
   
2011-01
      9424EB9DE0558193A6B4D9607C23CBD5
      DFE01E12671BBDD7EC0F8BEBA08EC440
   
2011-02
      352A8AB0D5C7DB40F865B0E7E03B1D96
      BB5560123C62588988BC22C704CD9E03
   
2011-04
      D4CBEABAE5B4D4BAF14F554C8E9A4E86
   
2011-05
      1E08449CE5848B6ADFEE48B1582EAEEF
      B63F25D5B02FE00D9423A7CCC0C3CCE2
      C98F3F5709292D6D97AD96C1A8459A81
   
2011-07
      B66475ED30943C0056C9402DCAECB8B9
   
2011-08
      7F7E0C58BDF1E47059DD84FFB301F6B7
      DCE41A00FB703B6A6324CE4F4C4DB143
      F604C7E4EC3A12A83E0852A9D7FE75CA
   
2011-09
      396B88D48CC04A8C37F4409F65EA8A97
      72C1BEC266B23AF5CB12AE2F669D8784
      77E2D2A1E508EA30D548293E2C36D64F
      9C075FB471DC66394090C8BFAA4739A4
      C06414E1994BF4EFA41911CA81099411
      DF1A932144BF2C6E50FD090FDC1F1408
   
2011-10
      0C921935F0880B5C2161B3905F8A3069
      3D711B47C8FDE2C6A5E62D6AD0BA7BB5
      5ACA74320003576F79CF6EDD0629CC13
   
2011-11
      2B4A5F1C8225D9043AE1302DCCD7063B
      3774D5BD50F4286531FEDF716D83FC6E
      5BA7D2DE0CCC58F104240610BF297E6E
      9CA42C5B352DEFB53F8D30C16B36697A
   
2011-12
      E2F8F5C80566BF32E1841B3C5A669D42
   
2012-01
      F96EBF8128BFC6965C73A2659718C663
   
2012-02
      6F6B016A5DB1791188D7C98A464292CC
   
2012-03
      093586512549F2D016AD4C70F4F8E5C8
   
2012-04
      80E595253D3E02071D2564BA8296D308
   
2012-06
      08862142D7313A1D431D67E0E755EFC7
      223D32E3F6BB9C5A6AD3CD58B898EFA1
      5BECB2498EA801ED010DD073007E20CE
      5FFE38CA9FE07394D1BC5C270E83B253
      A910A324394B56022C7AC10DB22EC3F6
   
2012-07
      3B6A3354B71CD674D4BC27646D270502
      4C2DB57ED5D27F54120765A9FA9C3BC7
   
2012-08
      2304FA9A6A67984CA0FF9E9BF561817A
      7316D0EE9C0B6C23C7CEB2D04DC6B665
      EB4DBB18D00321A809A6C4D8594DDF5A
   
2012-10
      25B4C1C68C58D7D559E8682117D7C01F
      63C926F659C3EDEC0B85C91898622A4D
      6AA100C459E854A9A334B10468EAD014
      8005E44761B842370D43299B29B0F16A
      B1ABD1279A28F22B86A15D6DAFBC28A5
      DEAF70F248599985FC32B083F16F251A
   
2012-11
      766A50581F6E47FF94126C5DBBD9FB01
   
2012-12
      01B43C0C8D620E8B88D846E4C9287CCD
      15B9C9632510FB4D387D4A02ABF830DD
      1B342E6682167571B55AB59F3DD38D1E
      1C04C6B4E0BBBC99CCEE489270C98622
      30EA180ECE416600DABC5ADA0F630D06
      36C90E73120A419B4B00E66177040F43
      3A76AA2439112479635D7172DB2440B1
      44B342383E286465D74A838EE0780DDA
      56AD23082E5E73AAEB95E5A915DF5444
      69170C0C9FB4EEC6A630C4C9182505F0
      6B873B6D21ECC9ADF7246D644B23FB84
      7E1B91800F2FE9974C7BB18A7097D933
      9010DD12A1419E0F0098FD10CA324E23
      A15F02836309B819DE10068ED49D5D87
      A56577564E52251C54B27D4CA62C266F
      A8ABECD7C571AAEE6C964514133585F3
      CAAFD0C9B5DC0DAB8D1A3C1D5AF9EE94
      DE5FDBAD9274B21EA5391F48441D33D8
      EB17EB2F02FA871C005C569B3299FCBA
      F5A6FC81A4F5AE6DEBFAC463DD49E1C2
   
2013-01
      0481B4B12C8C69B735CAC2A918B52790
      223F7E425BD28AE13A54B2D0017D1E81
      2F091B59382F6CA9E1233EE38B171B2E
      49B6D19F9307C3BBA460C936ADE26B70
      A13B21423C5AE7BA318D0D26E672AD22
      CCA50DCB8A30B325BF10CED5DAE4D51A
      E453463A428A71A5DB19FC18807E747B
   
2013-02
      4B6DFE2A4B0EF515275AC84B378D5F6F
   
09-2020
      22AE2A6FF14C58265B5C79FBC25A91B6
     

    

Some of the domains we saw from the binaries above: (see the full list of associated domains below)
akpuxqaz.ru

apnifosa.ru
bugfivin.ru 
cagremub.ru
diqnawug.ru
dufyhive.ru
jiwviqpa.ru
merwiqca.ru
wowrizep.ru

Traffic information

GET /instcod.exe HTTP/1.0
Host: wowrizep.ru

HTTP/1.1 200 Ok
Server: Apache
Content-Length: 785920
Content-Type: application/octet-stream
Last-Modified: .., 06 ... 2013 13:47:52 GMT
Accept-Ranges:
bytes
MZ......................@...................................|...........!..L.!..This program must be run under Win32Domains associated with Kelihos distribution and CnC

The http request is still incomplete in this example (as described here http://www.abuse.ch/?p=3658)

URL:  http://wowrizep.ru/instcod.exe
TYPE: GET
UA:   None
URL:  http://jiwviqpa.ru/instcod.exe
TYPE: GET

wowrizep.ru

nserver:       ns2.larstor.com.  (other name servers listed below)nserver:       ns3.larstor.com.nserver:       ns4.larstor.com.nserver:        ns5.larstor.com. nserver:        ns6.larstor.com. state:          REGISTERED, NOT DELEGATED, UNVERIFIED
person:        Private Person
registrar:     REGGI-REG-RIPN
admin-contact: https://panel.reggi.ru/user/whois/webmail/
created:       2012.12.22
paid-till:     2013.12.22 free-date:     2014.01.22

Over 6 hours one infected machine had communications with over 1550 peers (unique IPs). Traffic  flow shown from our sandbox IP in San Francisco, CA

Known domains associated with Kelihos/Hlux distribution and command&control servers (Feb. 2013-2012)

Hundreds of domains pointing to these name servers are listed below as one list. If you see ".com" in the list, this is a name sever and is where the next batch of domains begins. You should see  batches for these name servers (1500+) that are associated with Redkit, Blackhole and other exploit kits mostly delivering Kelihos/Hlux and sometimes Virut, that has been associated with this botnet as well (Jan.  2013 - Waledac Gets Cozy with Virut - Symantec).  Some domains were moved to new name servers as the old ones were suspended. (for example, many domains were moved from ns[1-6].systeat.com to ns[1-6].turbusy.com.

Compare it to the usage of eu domains from the last year here http://www.abuse.ch/?p=3658.

RU domains

• ns[1-6].boomsco.com  - domains registered on 2013-01-13  << most active now
• ns[1-6].larstor.com - domains registered on 2012-12-22 << most active now 
• ns[1-6].berchae.com (suspended) - domains registered on 2012-12-21
• ns[1-6].zempakiv.ru - domains registered on 2012.12.07 << most active now 
• ns[1-6].newrect.com - domains registered on 2012-08-01 
• ns[1-6].turbusy.com - domains registered on 2012-12-07 
• ns[1-6].chokode.com (suspended) - domains registered on 2012-09-06 
• ns[1-6].biocruc.com (suspended) - domains registered on 2012-07-15 
• ns[1-6].systeat.com  (suspended) - domains registered on 2012-07-07 
• ns[1-6].affour.com (suspended) -  domains registered on 2012-06-29
• ns[1-6].reetsp.com (suspended) -  domains registered on 2012-06-29
• ns[1-6].oparle.com  -  domains registered on 2012-06-05 
• ns[1-6].toastop.com (suspended) - domains registered on 2012-05-27
• ns[1-6].ocorti.com  (suspended) - domains registered on 2012-04-21
• ns[1-6].esanty.com  (suspended) - domains registered on 2012-04-09
• ns[1-6].diastr.com (suspended) - domains registered on 2012-04-09
• ns[1-6].snapoli.com (suspended) - domains registered on 2012-04-02
• ns[1-6].maguiso.com  (suspended) - domains registered on 2012-03-05
• ns[1-6].swartra.com - domains registered on 2011-10-12

EU domains

• ns[1-6].frostli.com  (suspended) - domains registered on 2012-04-21
• ns[1-6].pizzebu.com   (suspended) - domains registered on 2012-01-13

IN domains

• ns[1-6].firstara.com - domains registered on 2012-3-8

CE.MS domains (used before 2012)

• ns[1-6].roblect.com - domains registered on 2011-12-01
• ns[1-6].galloma.com - domains registered on 2011-10-31

Domain list
All known domains sorted by the name server and age (newest on top - see the name server registration dates on top)  If you see any machines connecting to any of these domains, it is likely be infected.  Listed by nameservers and NS create date. There is some duplicates in the list as same domain could move from one NS to another.

Download:
http://files.deependresearch.org/logs/activeNS-kelihos-feb2013.txt - txt file with 430+ domains using currently active name servers = > for active defense
boomsco.com
larstor.com
zempakiv.ru
newrect.com
turbusy.com

http://files.deependresearch.org/logs/all-known-domains-kelihos-2012-2013.txt - txt file with all 1550+ known to us Kelihos domains including suspended and sinkholed (2013-2011). Sorted by age (newest-oldest) = for DNS monitoring and research.

 There are 1550+ unique domains.

ns[1-6].boomsco.com
aggeymin.ru
amxylkap.ru
aqqajofi.ru
asyknika.ru
bojsedyt.ru
cevlyxaq.ru
copapjid.ru
cujemjev.ru
dikojnah.ru
dobikuwe.ru
dubfoluc.ru
dyrzaqfu.ru
dyxketam.ru
egygumlo.ru
fachejyp.ru
favickov.ru
fycedqek.ru
fytfotlo.ru
giffunri.ru
gishabet.ru
guqyvzap.ru
gybebeho.ru
gyvolnac.ru
icepijog.ru
iszivkyc.ru
jiyknuqi.ru
linyaqor.ru
lisybsij.ru
lyfqekow.ru
nebgisyk.ru
ojvectyk.ru
olsicwiq.ru
owideker.ru
pahfyhfi.ru
papcybop.ru
pecunvom.ru
pegarpem.ru
pipuwbap.ru
pusycqyz.ru
qatuhnaf.ru
qiqwoxki.ru
qysmahku.ru
rulwusyc.ru
sedfibyr.ru
solhusny.ru
sudiydyx.ru
syrjikhe.ru
tegeqfux.ru
tepmahiq.ru
tijenric.ru
todqenym.ru
tubtihiv.ru
uvvycceh.ru
vacrajak.ru
viackipa.ru
vubupbeb.ru
vybakcov.ru
vyfnozed.ru
vygwomak.ru
wevwubhy.ru
woldanov.ru
xifaknow.ru
xitydjeg.ru
xizzawvu.ru
xyjiekfe.ru
yjaqexha.ru
ykmeffyw.ru
ylgoaxle.ru
yvxaghod.ru
zakiixwe.ru
zehyqjol.ru
zyfwomep.ru
zyqutfeb.ru
zyrapfev.ru


ns[1-6].larstor.com
acdastas.ru
afdotrin.ru
akmaxook.ru
akpuxqaz.ru
anhofciv.ru
apnifosa.ru
awetefid.ru
batycfac.ru
bowbiluk.ru
bugfivin.ru
cagremub.ru
cimhuspi.ru
didcufun.ru
diqnawug.ru
diteqciq.ru
dofihhog.ru
dokelzel.ru
dufyhive.ru
ecrihgep.ru
ejzazsax.ru
ektizzab.ru
eldacbet.ru
epejanhi.ru
ewenhugi.ru
fedvojvy.ru
fetolbus.ru
gehxehib.ru
goktypxi.ru
guphumsa.ru
hulirkox.ru
ixehmona.ru
jasfagal.ru
jiwviqpa.ru
jizevcyr.ru
jizugqux.ru
joljihuk.ru
jonkisig.ru
junedles.ru
kevzimom.ru
kicsodho.ru
laqursoh.ru
lejbomor.ru
lilkepiv.ru
liwuwquh.ru
lofibvar.ru
lymurufa.ru
merwiqca.ru
nopepkaq.ru
nosgazim.ru
nozwyhvi.ru
nylzudwo.ru
ocbiccan.ru
odmurwal.ru
ophirjih.ru
otfasdac.ru
pikkokih.ru
pinvahub.ru
pofhufso.ru
pomywwaq.ru
pypwalve.ru
qyxoxuzo.ru
rabpabyr.ru
racapsyq.ru
raguhloc.ru
rujascur.ru
soduvnec.ru
sumjecyg.ru
tuguijab.ru
tyjkexax.ru
ugnyspyr.ru
uhpygxav.ru
uqoquchy.ru
vibewpav.ru
vopiifdu.ru
vortatar.ru
vyzyxqyg.ru
wowrizep.ru
wufjajcy.ru
xivobwyb.ru
yficebnu.ru
ynpucwif.ru
ypvudhek.ru
zazzeqan.ru
zedwyzuc.ru
zegkyfga.ru
zunvexuq.ru

ns2.oilined.com
abofaxtu.ru
afxeftof.ru
ajgijuap.ru
atkoskih.ru
atxembef.ru
avmakpyt.ru
axcakqif.ru
azvaebyn.ru
bakuzbuq.ru
bangurec.ru
behbusqu.ru
cesivpil.ru
citpoloj.ru
cucaklif.ru
cundimam.ru
dohjapju.ru
enhawcus.ru
etujaqhe.ru
faplejir.ru
fawsilom.ru
fidqyzar.ru
fiwbyjhu.ru
focpidas.ru
fyzsicat.ru
gijcodox.ru
girwysca.ru
gywquroz.ru
hevlehaw.ru
hezyddij.ru
hikutcur.ru
ibjiocuw.ru
ihdidcyd.ru
ikbyznod.ru
irtoexki.ru
isbegisy.ru
iwhuwugy.ru
iwnemfam.ru
ixfocgaf.ru
jilvoqsi.ru
jiragsug.ru
jureetse.ru
juuqbuah.ru
kixqusos.ru
kugfulyw.ru
lafdamow.ru
lecjefys.ru
linsubby.ru
liwmiccu.ru
mywbywur.ru
narzoquc.ru
norfikuf.ru
nowqubxi.ru
nudsawyj.ru
nuzejviz.ru
nypmivhy.ru
nyzvelew.ru
ogedlayc.ru
oqivynle.ru
owtaprel.ru
pegkowoz.ru
powosjec.ru
qamelzyc.ru
qufexkig.ru
qyqkedpy.ru
qysriloh.ru
rehvuwib.ru
rosacomi.ru
ryqpynar.ru
secegbiw.ru
sepsiqbo.ru
sybqipfe.ru
syxozwag.ru
taosiram.ru
tiglatep.ru
toszegky.ru
towmidar.ru
tozlisdi.ru
tunzovnu.ru
tyryfpix.ru
ucxegxox.ru
urvohnux.ru
vagavheh.ru
vehyfgor.ru
wascadux.ru
waxpehby.ru
worgukiw.ru
xoztyhto.ru
ydfivmim.ru
yjjipdyl.ru
yksigxes.ru
ykyczeis.ru
zempakiv.ru
zifrazah.ru
zitifhuz.ru
zurgovod.ru
zuzikkeg.ru

ns[1-6].newrect.com
avenqyz.ru
axbuzyg.ru
azkenyb.ru
azkygaj.ru
baefrih.ru
bicjeko.ru
buhfyta.ru
bumwiyc.ru
bypimih.ru
byxkauv.ru
ceguheq.ru
copyseq.ru
deqbyyq.ru
ebtanij.ru
ekabdyz.ru
ekafken.ru
emjokar.ru
epsaboq.ru
eqtiwuf.ru
evleseh.ru
evutdoz.ru
ewtaniq.ru
focegob.ru
folkaax.ru
fubojla.ru
fuvijsa.ru
fynydre.ru
fyvavcu.ru
goxizap.ru
harwauz.ru
haxuryg.ru
himytyp.ru
hucimaf.ru
huwxiyl.ru
iloblod.ru
ilulxak.ru
innefwo.ru
irroxux.ru
jakybus.ru
jerjigo.ru
jifecad.ru
jokbuoj.ru
jyluxel.ru
kidazpa.ru
kovawap.ru
kykufep.ru
latokoz.ru
lirowyg.ru
lofbiwa.ru
lohucif.ru
lujmyvo.ru
majiqec.ru
mochusi.ru
neiscig.ru
nixuxor.ru
nodyfux.ru
nonogci.ru
nycaqsy.ru
nyygtic.ru
obymhij.ru
odgazoz.ru
ogazbyj.ru
ogpexol.ru
ohdujne.ru
ollobun.ru
onixdud.ru
orxykud.ru
otrasan.ru
owpejip.ru
pyjivga.ru
qadazor.ru
qadyqow.ru
qaokdyj.ru
qaromyz.ru
qewkima.ru
qovizki.ru
rijygur.ru
rovikvy.ru
ruqyxed.ru
ryygwoh.ru
sejyfat.ru
semgijo.ru
tenuluc.ru
tivizty.ru
towilax.ru
tuqjyze.ru
ugcyneg.ru
unwylhi.ru
unxajen.ru
urekkyf.ru
uvehpan.ru
vaqnula.ru
vepyhga.ru
viqsieb.ru
voqukyh.ru
wekveom.ru
wenybwu.ru
weozgyv.ru
wokseja.ru
wufkedy.ru
wumyhma.ru
wylyhan.ru
xeatsif.ru
xiguzow.ru
xowkocy.ru
xurywdo.ru
xyqysaf.ru
ydhomum.ru
ydywzik.ru
zegykso.ru
zofabby.ru
zuattiw.ru
zyglooj.ru
zytidel.ru
abofaxtu.ru
afxeftof.ru
ahtiagge.ru
ajgijuap.ru
atkoskih.ru
atxembef.ru
avmakpyt.ru
axcakqif.ru
azvaebyn.ru
bakuzbuq.ru
bangurec.ru
behbusqu.ru
cesivpil.ru
citpoloj.ru
cucaklif.ru
cundimam.ru
dohjapju.ru
enhawcus.ru
etujaqhe.ru
faplejir.ru
fawsilom.ru
fidqyzar.ru
fiwbyjhu.ru
focpidas.ru
fyzsicat.ru
gasosvaz.ru
gegwikaf.ru
gijcodox.ru
girwysca.ru
gywquroz.ru
hevlehaw.ru
hezyddij.ru
hikutcur.ru
ibjiocuw.ru
ihdidcyd.ru
ikbyznod.ru
irtoexki.ru
isbegisy.ru
iwhuwugy.ru
iwnemfam.ru
ixfocgaf.ru
jilvoqsi.ru
jiragsug.ru
jureetse.ru
juuqbuah.ru
kixqusos.ru
kugfulyw.ru
lafdamow.ru
lecjefys.ru
linsubby.ru
liwmiccu.ru
mywbywur.ru
narzoquc.ru
norfikuf.ru
nowqubxi.ru
nudsawyj.ru
nuzejviz.ru
nypmivhy.ru
nyzvelew.ru
ogedlayc.ru
oqivynle.ru
owtaprel.ru
pegkowoz.ru
powosjec.ru
qamelzyc.ru
qufexkig.ru
qyqkedpy.ru
qysriloh.ru
rehvuwib.ru
rosacomi.ru
ryqpynar.ru
secegbiw.ru
sepsiqbo.ru
sybqipfe.ru
syxozwag.ru
taosiram.ru
tiglatep.ru
toszegky.ru
towmidar.ru
tozlisdi.ru
tunzovnu.ru
tyryfpix.ru
ucxegxox.ru
urvohnux.ru
vagavheh.ru
vehyfgor.ru
voxyqjyc.ru
wascadux.ru
waxpehby.ru
worgukiw.ru
xoztyhto.ru
ydfivmim.ru
yjjipdyl.ru
yksigxes.ru
ykyczeis.ru
zifrazah.ru
zitifhuz.ru
zurgovod.ru
zuzikkeg.ru


ns[1-6].turbusy.com
aletazgi.ru
aqzepylu.ru
batpicur.ru
byjlegta.ru
cybbijyl.ru
cylqiduh.ru
deafesqy.ru
egsuista.ru
facujfet.ru
fevnotow.ru
fidedhah.ru
gamselni.ru
gegzyvet.ru
gywilhof.ru
hahsekju.ru
heztymut.ru
huquqxov.ru
ivkikcop.ru
jamwazer.ru
judxagaf.ru
jymeegom.ru
leqgugom.ru
lupylzum.ru
mosjinme.ru
neluzjiv.ru
niliqrix.ru
nobzekyx.ru
ocgaextu.ru
ojpaxlam.ru
oqlapjim.ru
otxolpow.ru
pegyrgun.ru
pevhyvys.ru
pogwytfy.ru
pynxomoj.ru
qutgagnu.ru
ruxymqic.ru
sesuhror.ru
sittanyg.ru
sivzoror.ru
siwebheb.ru
tahfifak.ru
tecviqir.ru
tiwciwux.ru
udemirus.ru
ugsovraw.ru
uwfekfyj.ru
votqygiq.ru
wetifjam.ru
wibveces.ru
wofgyqyv.ru
xeznosfu.ru
xifdupyc.ru
xikmonej.ru
xylyvkan.ru
ycjukgup.ru
ynjaprur.ru
ystinqoc.ru
zuqijcel.ru


ns[1-6].chokode.com
aldiplil.ru
apzafqyj.ru
arhutsyb.ru
bawodnes.ru
bepmetic.ru
biskehud.ru
bovtesma.ru
budymnyn.ru
bykicnof.ru
bymritun.ru
cavterjy.ru
cemyyzwe.ru
cihdiryh.ru
cilcenok.ru
ciriljug.ru
colzoqko.ru
copybvow.ru
cuchuqis.ru
cyldoqic.ru
cyxgekle.ru
datsonyl.ru
dawkavka.ru
dibpohog.ru
diumjacu.ru
dotbikeg.ru
ekmydpap.ru
espisceq.ru
etpazxej.ru
exdeflyl.ru
faddixdy.ru
fenqykqy.ru
fettucod.ru
feztaxov.ru
fivfyjmy.ru
gezahcyg.ru
giqudfip.ru
gozzujuc.ru
gyhimkyv.ru
gyzigcyd.ru
hahbikri.ru
hedeqcec.ru
himxyjaj.ru
hoqoxnof.ru
ibpintor.ru
idxoceac.ru
ilsyzfiq.ru
imvypvyz.ru
inboimdi.ru
iwnulvak.ru
jaqvicmy.ru
jozaqpol.ru
karzomug.ru
keturduq.ru
kuedzioc.ru
kumalzoh.ru
kutuqwyc.ru
laqypxez.ru
lavydfen.ru
luhhinwa.ru
maduvhap.ru
mefizner.ru
meglexis.ru
modofpaw.ru
mushycle.ru
mywyflaq.ru
myzyswot.ru
nihagmyv.ru
nihfedki.ru
nivcegik.ru
nobunzal.ru
nogdupty.ru
nohdekyk.ru
nudysmih.ru
nujqamdi.ru
obpippih.ru
odolnaer.ru
olwagmuf.ru
ompassik.ru
oqcilvis.ru
oxbogzus.ru
ozpyrgax.ru
peftuqij.ru
peletbog.ru
pijilvad.ru
pohzebib.ru
puvlyjap.ru
pyvizgaf.ru
qaqipwel.ru
qesaqead.ru
qetivqep.ru
qosxatys.ru
quisoqug.ru
quqkajiv.ru
qytzysyd.ru
rapefzab.ru
rocxokex.ru
romazlon.ru
rufmazruru
rydmuqho.ru
samuzryv.ru
sawvuctu.ru
seslopyn.ru
suhaqtak.ru
sumsonwy.ru
syjinram.ru
sytpigyq.ru
tamyhqok.ru
tesoeqwu.ru
tezujrad.ru
tymurlud.ru
ucajbiud.ru
uhjuftah.ru
uhpadcor.ru
upjyjqux.ru
uqboluqy.ru
uqnymtyq.ru
uxtadson.ru
uxtiwtis.ru
vakcudaq.ru
vargigsi.ru
varobgag.ru
vaxalbax.ru
vecvycte.ru
vedriwmi.ru
vesnobuz.ru
vibawtan.ru
vizxaxel.ru
vomzemyq.ru
vuzjoswy.ru
wazidzaf.ru
wexhunpu.ru
wiqenmoj.ru
wixelnab.ru
wobapbyg.ru
wupromxu.ru
wydybpuv.ru
xemtyroz.ru
ximxupih.ru
xiqpexsy.ru
xityxgem.ru
xudyhbes.ru
xycsapef.ru
ydruofik.ru
ykpaoxyp.ru
yphiquof.ru
yscaduif.ru
ytnainqy.ru
yvmygdus.ru
yzhepqyz.ru
zacakpym.ru
zaguqcux.ru
zamponyt.ru
zehredic.ru
zincikur.ru
zocdisge.ru
zogjolga.ru
zubbivpo.ru
zudxohok.ru
zywjixuw.ru
abaxhad.ru
adnedat.ru
adtesok.ru
asmukuf.ru
awewsip.ru
bipulte.ru
biwuvba.ru
bopwyeb.ru
bowbaiv.ru
byvbymy.ru
caqxaro.ru
citsibe.ru
dalwoza.ru
darabub.ru
dinymak.ru
doxilik.ru
egnisje.ru
estesgo.ru
evdyvaz.ru
fetucxo.ru
fixavpu.ru
gazuzoz.ru
gedopan.ru
gubahvi.ru
haponeg.ru
hedybih.ru
hitakat.ru
ihmytog.ru
ikevzaq.ru
imgohut.ru
ipdehas.ru
irhegre.ru
ivnuvuk.ru
iwvahin.ru
izxirfy.ru
jaibzup.ru
jedytlu.ru
jodkymy.ru
jokenqi.ru
jykyvca.ru
jytorqu.ru
kejejib.ru
kycufvy.ru
lopoqyv.ru
luditla.ru
mabuhos.ru
muhipew.ru
muwosiv.ru
nybzywy.ru
oqjogxi.ru
osmuryf.ru
otpipug.ru
pagubev.ru
pawahav.ru
pyykxug.ru
qiquzcy.ru
quohdit.ru
rekvyfo.ru
rifirac.ru
risytfa.ru
ritrios.ru
rujfeag.ru
rybuhoq.ru
rykafeh.ru
saxyjuw.ru
sihemuj.ru
sohaxim.ru
soqvaqo.ru
sutimjy.ru
taixcih.ru
tikoqox.ru
tozfyma.ru
turiwil.ru
ucelgos.ru
udxowub.ru
udzycaf.ru
uggifym.ru
uhduxic.ru
uhzubvo.ru
umpefan.ru
uqlahaf.ru
uxfokur.ru
uxosgik.ru
veuwhyz.ru
vunjuet.ru
vuohsub.ru
wefecfo.ru
wyjenqo.ru
xenacoz.ru
xofsimi.ru
xogitaj.ru
xomoqol.ru
ybsahov.ru
ydabxag.ru
ykocnar.ru
ynkicyr.ru
yxyqwiz.ru
yzsabuq.ru
zidamuk.ru
zylhomu.ru


ns[1-6].biocruc.com
abaxhad.ru
adnedat.ru
adtesok.ru
asmukuf.ru
awewsip.ru
bipulte.ru
biwuvba.ru
bopwyeb.ru
bowbaiv.ru
byvbymy.ru
caqxaro.ru
citsibe.ru
dalwoza.ru
darabub.ru
dinymak.ru
doxilik.ru
egnisje.ru
estesgo.ru
evdyvaz.ru
fetucxo.ru
fixavpu.ru
gazuzoz.ru
gedopan.ru
gubahvi.ru
haponeg.ru
hedybih.ru
hitakat.ru
ihmytog.ru
ikevzaq.ru
imgohut.ru
ipdehas.ru
irhegre.ru
ivnuvuk.ru
iwvahin.ru
izxirfy.ru
jaibzup.ru
jedytlu.ru
jodkymy.ru
jokenqi.ru
jykyvca.ru
jytorqu.ru
kejejib.ru
kycufvy.ru
lopoqyv.ru
luditla.ru
mabuhos.ru
muhipew.ru
muwosiv.ru
nybzywy.ru
oqjogxi.ru
osmuryf.ru
otpipug.ru
pagubev.ru
pawahav.ru
pyykxug.ru
qiquzcy.ru
quohdit.ru
rekvyfo.ru
rifirac.ru
risytfa.ru
ritrios.ru
rujfeag.ru
rybuhoq.ru
rykafeh.ru
saxyjuw.ru
sihemuj.ru
sohaxim.ru
soqvaqo.ru
sutimjy.ru
taixcih.ru
tikoqox.ru
tozfyma.ru
turiwil.ru
ucelgos.ru
udxowub.ru
udzycaf.ru
uggifym.ru
uhduxic.ru
uhzubvo.ru
umpefan.ru
uqlahaf.ru
uxfokur.ru
uxosgik.ru
veuwhyz.ru
vunjuet.ru
vuohsub.ru
wefecfo.ru
wyjenqo.ru
xenacoz.ru
xofsimi.ru
xogitaj.ru
xomoqol.ru
ybsahov.ru
ydabxag.ru
ykocnar.ru
ynkicyr.ru
yxyqwiz.ru
yzsabuq.ru
zidamuk.ru
zylhomu.ru

ns[1-6].systeat.com
arvomxo.ru
cyeqsov.ru
deicqig.ru
dodexco.ru
dydajej.ru
eqsonas.ru
figbuar.ru
fyefxug.ru
hecrery.ru
huckazu.ru
hyqugry.ru
hysgofy.ru
idxogow.ru
ilmagih.ru
iwahroq.ru
kiqybur.ru
lihibir.ru
meewxib.ru
miwywky.ru
nuycmeh.ru
ofyrmaj.ru
ophopop.ru
papiteb.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
ripebet.ru
rolyjyl.ru
tehomeb.ru
tejuxiv.ru
tisreyp.ru
ubbylys.ru
ufremku.ru
uhwipiq.ru
uslowyj.ru
vesuqpu.ru
vokpaav.ru
xakruaq.ru
yhqinyp.ru
ysufzub.ru
yvufraf.ru
zeryqiq.ru
zihemmi.ru
zoryqky.ru
zynxuih.ru
zypzieb.ru
zysaten.ru
aletazgi.ru
aqzepylu.ru
aswoxmur.ru
batpicur.ru
bepmetic.ru
biskehud.ru
biwtihop.ru
bovtesma.ru
bycmolhy.ru
bygotbys.ru
bymritun.ru
cihdiryh.ru
ciriljug.ru
colzoqko.ru
copybvow.ru
cuchuqis.ru
cybbijyl.ru
cylqiduh.ru
cyxgekle.ru
datsonyl.ru
dawkavka.ru
deafesqy.ru
dehjujuq.ru
diumjacu.ru
dohwapih.ru
exdeflyl.ru
faddixdy.ru
fenqykqy.ru
fettucod.ru
fohfynly.ru
gamselni.ru
gegzyvet.ru
ginnyjyb.ru
gozzujuc.ru
gyhimkyv.ru
gyzigcyd.ru
hahsekju.ru
hezsoxys.ru
heztymut.ru
himxyjaj.ru
huekgouz.ru
huluwhur.ru
huquqxov.ru
ibpintor.ru
ilsyzfiq.ru
inboimdi.ru
iwnulvak.ru
jaqvicmy.ru
jaweckob.ru
jebtelyx.ru
judxagaf.ru
jyggimib.ru
keturduq.ru
kozfofti.ru
kuedzioc.ru
lavydfen.ru
lufsekim.ru
luhhinwa.ru
maduvhap.ru
mefizner.ru
meglexis.ru
mushycle.ru
myzyswot.ru
naselzit.ru
nayxitgy.ru
nihagmyv.ru
nobunzal.ru
nohdekyk.ru
nudysmih.ru
odolnaer.ru
olwagmuf.ru
ompassik.ru
oqcilvis.ru
otxolpow.ru
ozpyrgax.ru
pedugtap.ru
pegyrgun.ru
peletbog.ru
pogwytfy.ru
pohzebib.ru
pynxomoj.ru
qantysag.ru
qesaqead.ru
qiimovap.ru
qosxatys.ru
quqkajiv.ru
qutgagnu.ru
qytzysyd.ru
racadpuh.ru
rebfelqi.ru
rizsebym.ru
rocxokex.ru
ruxymqic.ru
seslopyn.ru
sexjereh.ru
sivzoror.ru
suhaqtak.ru
sukbewli.ru
syjinram.ru
sytpigyq.ru
tamyhqok.ru
tesoeqwu.ru
tezujrad.ru
tiwciwux.ru
udemirus.ru
ugsovraw.ru
uhjuftah.ru
upjyjqux.ru
uwfekfyj.ru
uwfubpeb.ru
uxtadson.ru
uxtiwtis.ru
vargigsi.ru
vaxalbax.ru
vibawtan.ru
vizxaxel.ru
vomzemyq.ru
vuzjoswy.ru
wapifnuc.ru
warkafoc.ru
wibveces.ru
wixelnab.ru
wobapbyg.ru
wofgyqyv.ru
wupromxu.ru
xeznosfu.ru
xikmonej.ru
xiqpexsy.ru
xudyhbes.ru
xylyvkan.ru
ycjukgup.ru
ydruofik.ru
yphiquof.ru
yscaduif.ru
ystinqoc.ru
yvmygdus.ru
ywsyhrab.ru
yzhepqyz.ru
zacakpym.ru
zaguqcux.ru
zajkihyq.ru
zamponyt.ru
zekufyji.ru
zincikur.ru
zogjolga.ru
zubbivpo.ru
zupivzed.ru
zuqijcel.ru
zywjixuw.ru
arvomxo.ru
avondov.ru
begotav.ru
byypsof.ru
cyeqsov.ru
deicqig.ru
denapgo.ru
devehom.ru
dodexco.ru
dydajej.ru
ebmekis.ru
ebmeqbe.ru
egsopro.ru
ehmyqaq.ru
eqsonas.ru
eqywwoh.ru
essaruc.ru
ezhimim.ru
fafsuuq.ru
figbuar.ru
focvova.ru
fuxjiho.ru
fyefxug.ru
fyvegom.ru
hecrery.ru
hirqusu.ru
hookfiq.ru
huckazu.ru
huzgota.ru
hyqugry.ru
hyxejaj.ru
idxogow.ru
ilmagih.ru
imkaqro.ru
iwahroq.ru
ixomzob.ru
jabyrid.ru
jaccaad.ru
jemudiz.ru
jydybce.ru
kadseop.ru
kiqybur.ru
kobucco.ru
kufdeag.ru
kulegoh.ru
kylqaoq.ru
lihibir.ru
lucypek.ru
meewxib.ru
melimma.ru
mijijub.ru
miwywky.ru
mubidpy.ru
nebirza.ru
nicibma.ru
nutimad.ru
nuycmeh.ru
ofyrmaj.ru
onzomub.ru
ophopop.ru
oxcimun.ru
papiteb.ru
pesudwa.ru
pikihow.ru
poxatli.ru
pyhozod.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
quhokle.ru
rahupvu.ru
rapfuwo.ru
ripebet.ru
rolyjyl.ru
rycgoka.ru
tehomeb.ru
tejuxiv.ru
tenbyvo.ru
tilecak.ru
tisreyp.ru
tonalog.ru
tumrexu.ru
ubbylys.ru
ufremku.ru
uhwipiq.ru
unperyh.ru
upwifav.ru
uslowyj.ru
uxzuhur.ru
uzofmep.ru
vayvdav.ru
vesuqpu.ru
vewehoh.ru
viicdim.ru
vokpaav.ru
vylengo.ru
walybhy.ru
wiofmez.ru
xakruaq.ru
xixikot.ru
xokukat.ru
xuxywpe.ru
yhqinyp.ru
ykqevax.ru
yqegpaz.ru
ysufzub.ru
yvufraf.ru
zeryqiq.ru
zihemmi.ru
zoryqky.ru
zyidgec.ru
zynxuih.ru
zypzieb.ru
zysaten.ru

ns[1-6].reetsp.com
adnedat.ru
adtesok.ru
asmukuf.ru
bipulte.ru
bopwyeb.ru
bowbaiv.ru
byvbymy.ru
caqxaro.ru
egnisje.ru
evdyvaz.ru
hitakat.ru
ikevzaq.ru
imgohut.ru
ipdehas.ru
izxirfy.ru
jokenqi.ru
jykyvca.ru
lopoqyv.ru
nybzywy.ru
osmuryf.ru
otpipug.ru
pagubev.ru
pawahav.ru
risytfa.ru
rybuhoq.ru
sihemuj.ru
soqvaqo.ru
sutimjy.ru
taixcih.ru
turiwil.ru
uhzubvo.ru
umpefan.ru
uxfokur.ru
vuohsub.ru
ybsahov.ru
ydabxag.ru
ykocnar.ru
yxyqwiz.ru
yzsabuq.ru
reetsp.com

ns[1-6]affour.com
arvomxo.ru
cyeqsov.ru
denapgo.ru
dodexco.ru
dydajej.ru
ebmekis.ru
ebmeqbe.ru
ehmyqaq.ru
eqsonas.ru
ezhimim.ru
figbuar.ru
fyefxug.ru
hecrery.ru
huckazu.ru
hyqugry.ru
hysgofy.ru
ilmagih.ru
imkaqro.ru
iwahroq.ru
ixomzob.ru
jabyrid.ru
kylqaoq.ru
lihibir.ru
meewxib.ru
miwywky.ru
ophopop.ru
papiteb.ru
pyhozod.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
ripebet.ru
rolyjyl.ru
tehomeb.ru
tejuxiv.ru
tilecak.ru
tisreyp.ru
ubbylys.ru
uhwipiq.ru
unperyh.ru
uslowyj.ru
uxzuhur.ru
uzanxyk.ru
vayvdav.ru
vesuqpu.ru
viicdim.ru
vokpaav.ru
vylengo.ru
walybhy.ru
wiofmez.ru
xokukat.ru
xuxywpe.ru
yhqinyp.ru
ykqevax.ru
ysufzub.ru
yvufraf.ru
zoryqky.ru
zyidgec.ru
zynxuih.ru
zypzieb.ru
zysaten.ru
affour.com

ns[1-6].toastop.com
arvomxo.ru
avondov.ru
begotav.ru
byypsof.ru
cyeqsov.ru
deicqig.ru
denapgo.ru
devehom.ru
dodexco.ru
dydajej.ru
ebmekis.ru
ebmeqbe.ru
egsopro.ru
ehmyqaq.ru
eqsonas.ru
eqywwoh.ru
essaruc.ru
ezhimim.ru
fafsuuq.ru
figbuar.ru
focvova.ru
fuxjiho.ru
fyefxug.ru
fyvegom.ru
hecrery.ru
hirqusu.ru
hookfiq.ru
huckazu.ru
huzgota.ru
hyqugry.ru
hyxejaj.ru
idxogow.ru
ilmagih.ru
imkaqro.ru
iwahroq.ru
ixomzob.ru
jabyrid.ru
jaccaad.ru
jemudiz.ru
jydybce.ru
kadseop.ru
kiqybur.ru
kobucco.ru
kufdeag.ru
kulegoh.ru
kylqaoq.ru
lihibir.ru
lucypek.ru
meewxib.ru
melimma.ru
mijijub.ru
miwywky.ru
mubidpy.ru
nebirza.ru
nicibma.ru
nutimad.ru
nuycmeh.ru
ofyrmaj.ru
onzomub.ru
ophopop.ru
oxcimun.ru
papiteb.ru
pesudwa.ru
pikihow.ru
poxatli.ru
pyhozod.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
quhokle.ru
rahupvu.ru
rapfuwo.ru
ripebet.ru
rolyjyl.ru
rycgoka.ru
tehomeb.ru
tejuxiv.ru
tenbyvo.ru
tilecak.ru
tisreyp.ru
tonalog.ru
tumrexu.ru
ubbylys.ru
ufremku.ru
uhwipiq.ru
unperyh.ru
upwifav.ru
uslowyj.ru
uxzuhur.ru
uzofmep.ru
vayvdav.ru
vesuqpu.ru
vewehoh.ru
viicdim.ru
vokpaav.ru
vylengo.ru
walybhy.ru
wiofmez.ru
xakruaq.ru
xixikot.ru
xokukat.ru
xuxywpe.ru
yhqinyp.ru
ykqevax.ru
yqegpaz.ru
ysufzub.ru
yvufraf.ru
zeryqiq.ru
zihemmi.ru
zoryqky.ru
zyidgec.ru
zynxuih.ru
zypzieb.ru
zysaten.ru

ns[1-6]ocorti.com
ajgufog.ru
bogquse.ru
bylviha.ru
cuekzut.ru
cyuhtut.ru
deivwyx.ru
duebgud.ru
ehakkaz.ru
exmotof.ru
ezirhaz.ru
giczeca.ru
houktuh.ru
ihfajoc.ru
jygowku.ru
jykaxfy.ru
kabezer.ru
kipokfy.ru
lojseuv.ru
nilwoim.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
pidohis.ru
qiohxuv.ru
qoqwoas.ru
qoripwe.ru
raleqle.ru
ripexru.ru
sidinox.ru
suvmune.ru
tevythi.ru
tobjuow.ru
tyhrypo.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
xuzuppu.ru
ypemval.ru
ypyxwon.ru
yqdazyb.ru
yvnahty.ru
ocorti.com

ns[1-6]esanty.com
affuxok.ru
ajgufog.ru
bogquse.ru
cuekzut.ru
cyuhtut.ru
deivwyx.ru
duebgud.ru
ehakkaz.ru
exmotof.ru
ezirhaz.ru
giczeca.ru
houktuh.ru
ihfajoc.ru
jazzute.ru
jygowku.ru
jykaxfy.ru
kabezer.ru
kipokfy.ru
nilwoim.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
pidohis.ru
qiohxuv.ru
qoqwoas.ru
raleqle.ru
ripexru.ru
salyqiz.ru
sidinox.ru
suvmune.ru
tobjuow.ru
tyhrypo.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
xuzuppu.ru
ypemval.ru
ypyxwon.ru
yqdazyb.ru
yvnahty.ru
zuhycyc.ru

ns[1-6].frostli.com
acypruq.eu
ahvorme.eu
akdygij.eu
amjymqe.eu
anuvjiw.eu
arcelje.eu
atnywyz.eu
awwapxe.eu
axcinov.eu
behhayq.eu
bekqyma.eu
betalpo.eu
biysqix.eu
bopihwi.eu
bosoxut.eu
bozopit.eu
buzgomu.eu
cetafyb.eu
cezsyox.eu
ciapkox.eu
cirafir.eu
civadke.eu
cocyxmi.eu
cohmouz.eu
cylxaob.eu
dafodup.eu
dilecdo.eu
dimulew.eu
doiqdag.eu
dosysvi.eu
dyofjog.eu
dysfyed.eu
edkadaf.eu
efewfyr.eu
ejywqem.eu
eqvyvej.eu
erlomaj.eu
essessa.eu
esycwyf.eu
etrodhy.eu
evpytej.eu
ezadkam.eu
favorib.eu
favyjxu.eu
fepyjeb.eu
finvami.eu
fivolid.eu
fudyvis.eu
gahemqy.eu
gatocut.eu
gehgoaz.eu
gijaqqo.eu
gipahco.eu
gixseka.eu
gobyvfa.eu
godeffo.eu
goemqag.eu
gorgyli.eu
gycakus.eu
gywafdo.eu
hatahse.eu
havimpa.eu
hiahnuh.eu
hiurmuc.eu
hometxa.eu
huenhaz.eu
ibceqyz.eu
iboqfuk.eu
idbizex.eu
igfowma.eu
ihhosti.eu
ihozvab.eu
ijnihud.eu
isdogon.eu
issolme.eu
iwackim.eu
japonzo.eu
jiaftem.eu
jibagoh.eu
jibyxre.eu
jimikej.eu
jyqilge.eu
kaloliw.eu
kasytpu.eu
koqasiq.eu
kubawvu.eu
kufogku.eu
kuletif.eu
kytyvod.eu
lakedin.eu
laxnelo.eu
lelreyb.eu
lepitmi.eu
leqetso.eu
lewujix.eu
libcauf.eu
luhychu.eu
luxypuj.eu
lywaqvu.eu
macetty.eu
maficyn.eu
miqyhce.eu
monedyg.eu
mozegys.eu
mufidis.eu
nagegal.eu
nexreza.eu
noalbej.eu
nogomiq.eu
nugtile.eu
nuvyhne.eu
nyrylla.eu
ocbogwy.eu
ocgejim.eu
ofxawmi.eu
ogkozew.eu
okmazax.eu
ontabmy.eu
osfylqu.eu
oshefiz.eu
ovvuceq.eu
owxawic.eu
oxkyrir.eu
ozaljek.eu
paqmery.eu
pexigki.eu
poihpuh.eu
povokim.eu
pybxaur.eu
qawajky.eu
qazkaxy.eu
qofabar.eu
quxafif.eu
quzsevy.eu
qyhumet.eu
qyycdyh.eu
retarip.eu
roijtil.eu
rubhiup.eu
runuhax.eu
ruvbaiv.eu
rybunwa.eu
ryflyed.eu
rylliny.eu
saercet.eu
seenruz.eu
seybdec.eu
socriaj.eu
somavko.eu
suzzaav.eu
syfetap.eu
symapmy.eu
tivuzga.eu
tunmayz.eu
tuopbel.eu
udquget.eu
udsopof.eu
ugjypnu.eu
uhdijgi.eu
ujgitip.eu
ukxames.eu
unvevvi.eu
upyqpiz.eu
ussypoc.eu
uswohyl.eu
uxjatqo.eu
vadjani.eu
venuqdy.eu
vepucyk.eu
vizocny.eu
wabomiw.eu
wyylsic.eu
xagublo.eu
xeyhzyc.eu
xijawpa.eu
xumitza.eu
ybocqug.eu
ycpasjy.eu
yhivdob.eu
yhvotyf.eu
yjygtux.eu
ypvipja.eu
ypychuj.eu
yrhodyf.eu
ysfukiw.eu
yvadmap.eu
yvsuxel.eu
zakasoc.eu
zawfyev.eu
zequspu.eu
zexdaga.eu
ziqnypa.eu
zobubof.eu
zogaguj.eu
zoneczu.eu
zuzzuna.eu
zydnimy.eu
zyefhim.eu
zymidaf.eu
zyvacus.eu
frostli.com


ns[1-6].pizzebu.com
awmybak.eu
beqylhe.eu
bozopit.eu
dilecdo.eu
edkadaf.eu
ejywqem.eu
essessa.eu
etrodhy.eu
gipahco.eu
gycakus.eu
hiahnuh.eu
iqqeniv.eu
jerufuw.eu
juzagyt.eu
kareffu.eu
kufogku.eu
monedyg.eu
opgukem.eu
oxkyrir.eu
piqxoxo.eu
qofabar.eu
rivinax.eu
rybunwa.eu
seybdec.eu
suiqtat.eu
udqejyx.eu
ugdycom.eu
usmuzeq.eu
wabomiw.eu
wyylsic.eu
xulotgu.eu
ykqewyx.eu
yraxvuh.eu
zaetpop.eu
zitufon.eu
zobubof.eu
zoneczu.eu
agomdaz.eu
ahmomyx.eu
ahvorme.eu
akdygij.eu
axcinov.eu
bemewan.eu
buzgomu.eu
cikynon.eu
cirafir.eu
ciskuur.eu
cureses.eu
ezadkam.eu
fagahmo.eu
gatocut.eu
gawgulo.eu
gixseka.eu
goemqag.eu
gyhello.eu
hatahse.eu
havimpa.eu
hometxa.eu
idbizex.eu
ileqbew.eu
imarnim.eu
japonzo.eu
jobfyre.eu
kuarzoz.eu
kuletif.eu
kytyvod.eu
lelreyb.eu
lomqybi.eu
lubigne.eu
macetty.eu
mosidgu.eu
movjihi.eu
mufidis.eu
nagegal.eu
nexreza.eu
noalbej.eu
nuvyhne.eu
nuzozuf.eu
ofxawmi.eu
opybxyb.eu
owlyzgi.eu
pefzota.eu
pexigki.eu
qoanxat.eu
qonerne.eu
roqeluv.eu
rylliny.eu
taksusy.eu
tugatiq.eu
udzonek.eu
uffecuj.eu
ugsowqy.eu
uhxesap.eu
ukryxyw.eu
wigiluk.eu
xumitza.eu
xuygcut.eu
xyrpavu.eu
ydbeqes.eu
yfuqcon.eu
yfynqav.eu
yjygtux.eu
yklocgu.eu
ynpysul.eu
yrhodyf.eu
ysfukiw.eu
zanpohe.eu
zyvacus.eu










awmybak.eu
beqylhe.eu
bozopit.eu
dilecdo.eu
edkadaf.eu
ejywqem.eu
essessa.eu
etrodhy.eu
gipahco.eu
gycakus.eu
hiahnuh.eu
iqqeniv.eu
jerufuw.eu
juzagyt.eu
kareffu.eu
kufogku.eu
monedyg.eu
opgukem.eu
oxkyrir.eu
piqxoxo.eu
qofabar.eu
rivinax.eu
rybunwa.eu
seybdec.eu
suiqtat.eu
udqejyx.eu
ugdycom.eu
usmuzeq.eu
wabomiw.eu
wyylsic.eu
xulotgu.eu
ykqewyx.eu
yraxvuh.eu
zaetpop.eu
zitufon.eu
zobubof.eu
zoneczu.eu

pizzebu.com.
agomdaz.eu
ahmomyx.eu
ahvorme.eu
akdygij.eu
axcinov.eu
bemewan.eu
buzgomu.eu
cikynon.eu
cirafir.eu
ciskuur.eu
cureses.eu
ezadkam.eu
fagahmo.eu
gatocut.eu
gawgulo.eu
gixseka.eu
goemqag.eu
gyhello.eu
hatahse.eu
havimpa.eu
hometxa.eu
idbizex.eu
ileqbew.eu
imarnim.eu
japonzo.eu
jobfyre.eu
kuarzoz.eu
kuletif.eu
kytyvod.eu
lelreyb.eu
lomqybi.eu
lubigne.eu
macetty.eu
mosidgu.eu
movjihi.eu
mufidis.eu
nagegal.eu
nexreza.eu
noalbej.eu
nuvyhne.eu
nuzozuf.eu
ofxawmi.eu
opybxyb.eu
owlyzgi.eu
pefzota.eu
pexigki.eu
qoanxat.eu
qonerne.eu
roqeluv.eu
rylliny.eu
taksusy.eu
tugatiq.eu
udzonek.eu
uffecuj.eu
ugsowqy.eu
uhxesap.eu
ukryxyw.eu
wigiluk.eu
xumitza.eu
xuygcut.eu
xyrpavu.eu
ydbeqes.eu
yfuqcon.eu
yfynqav.eu
yjygtux.eu
yklocgu.eu
ynpysul.eu
yrhodyf.eu
ysfukiw.eu
zanpohe.eu
zyvacus.eu


ns[1-6]diastr.com
affuxok.ru
aglycyx.ru
agogsip.ru
ahodxil.ru
ajgufog.ru
aqcanov.ru
avondov.ru
axrohug.ru
baryqyq.ru
bixqijy.ru
bogquse.ru
borutat.ru
butawad.ru
bylviha.ru
cajuhwo.ru
cesisnu.ru
cibudit.ru
coukdyg.ru
cuhugoh.ru
cyuhtut.ru
daagtah.ru
deivwyx.ru
duebgud.ru
efdylve.ru
ehgycuj.ru
eqlasho.ru
exmotof.ru
ezirhaz.ru
fenataj.ru
fyvegom.ru
giczeca.ru
heupjeq.ru
hidafog.ru
hivagdy.ru
houktuh.ru
hugejin.ru
hyjamat.ru
iddyraq.ru
ihfajoc.ru
ixqasib.ru
jyernol.ru
kabezer.ru
kipokfy.ru
koqqeih.ru
kufdeag.ru
kulegoh.ru
kyqolby.ru
lauqpum.ru
lojseuv.ru
lojyzyt.ru
loxusyd.ru
magucjo.ru
melimma.ru
miobrav.ru
mubidpy.ru
nebirza.ru
nilwoim.ru
nimepof.ru
nougxin.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
pesudwa.ru
pidohis.ru
pokatik.ru
pubujux.ru
qiohxuv.ru
qoqwoas.ru
qoripwe.ru
quhokle.ru
raleqle.ru
ripexru.ru
rodejuj.ru
rymyheh.ru
sidinox.ru
suvmune.ru
teuxtik.ru
tevythi.ru
titepob.ru
tobjuow.ru
togpuit.ru
tonalog.ru
tozukem.ru
tyhrypo.ru
ubbylys.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
wexriyp.ru
wiewkux.ru
wyliwow.ru
xakruaq.ru
xekisuw.ru
xequjej.ru
xuzuppu.ru
xybired.ru
ygdykin.ru
ykrijyj.ru
ypemval.ru
ypyxwon.ru
yqdazyb.ru
yvnahty.ru
zaacvas.ru
zeryqiq.ru
zihemmi.ru
zuzilum.ru

ns[1-6]snapoli.com
affuxok.ru
ajgufog.ru
bogquse.ru
deivwyx.ru
duebgud.ru
exmotof.ru
ezirhaz.ru
giczeca.ru
houktuh.ru
ihfajoc.ru
jazzute.ru
kabezer.ru
kipokfy.ru
nilwoim.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
qiohxuv.ru
qoqwoas.ru
raleqle.ru
ripexru.ru
salyqiz.ru
sidinox.ru
suvmune.ru
tobjuow.ru
tyhrypo.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
xuzuppu.ru
ypemval.ru
yqdazyb.ru
yvnahty.ru
zuhycyc.ru
snapoli.com


ns[1-6].firstara.com
alnykwu.in
anhozur.in
avutguz.in
azgesaj.in
bagexev.in
bemdymu.in
beruhor.in
bydxufu.in
cutrouc.in
docxymo.in
dyemheb.in
dysjeag.in
edsahug.in
egziwof.in
ejredeg.in
eptulyk.in
esqific.in
ewnupaj.in
fybildo.in
geigbeq.in
goivgek.in
gorocez.in
havowyx.in
haywsab.in
hexdoik.in
hezypez.in
hirurgy.in
honedju.in
hotfool.in
huisfeq.in
huvygmy.in
icotkik.in
iczipyk.in
iddeste.in
igtevax.in
iksutel.in
infobyt.in
itkyguh.in
ivhapuf.in
jepokfa.in
jiifxoz.in
jiquvel.in
juzuxcy.in
kaduqec.in
kiabrok.in
kufirqe.in
kyrocok.in
legycxa.in
leqozdy.in
lexucyl.in
moropdy.in
mutywro.in
myzxozy.in
negmeuw.in
nytutiv.in
ofusqar.in
oqufnyg.in
oxetpah.in
pamywuz.in
pedezby.in
pisyhyn.in
pydilaw.in
qabojir.in
qifufuk.in
raehxez.in
riwgagi.in
rufabex.in
seazdel.in
seompis.in
sinuheh.in
talutyw.in
tarraso.in
tivenyr.in
ucfensa.in
ufbofky.in
ufhewuk.in
ujjukag.in
uqtopik.in
urxiwat.in
uwhepij.in
veqyhli.in
vezkoty.in
vugozan.in
vuqfuek.in
wasidxo.in
wynzobo.in
wyvloiq.in
xategon.in
xevezby.in
xutepyj.in
xuwigir.in
yxfibet.in
yzrefyf.in
zaxseyz.in
zilziom.in
zohdoud.in
zunipaw.in
zynacha.in
firstara.com


roblect.com
akzruyh.ce.ms
apeefoacx.ce.ms
ezoglolbj.ce.ms
gcbjbamdj.ce.ms
geljoxlkd.ce.ms
himukcnen.ce.ms
hyyviccku.ce.ms
imoqjzsej.ce.ms
ljltpaffv.ce.ms
lrjvgjwmg.ce.ms
lvfksyqmz.ce.ms
mhfrhelfr.ce.ms
mkiplkooq.ce.ms
nlozaydyk.ce.ms
ouxwexphh.ce.ms
rxhndcxxi.ce.ms
shuxkzjvp.ce.ms
dlmdlemqjw.ce.ms
roblect.com


galloma.com
ajyxxun.ce.ms
avtjicn.ce.ms
bbzulty.ce.ms
bhueizz.ce.ms
bmxnbbz.ce.ms
bzzqkjk.ce.ms
cluuocw.ce.ms
cqkjibj.ce.ms
dixrkno.ce.ms
dkwhwqc.ce.ms
eymosvc.ce.ms
ezwrvsq.ce.ms
fautuzh.ce.ms
fbxmkgs.ce.ms
gnrmdds.ce.ms
hvhlazq.ce.ms
iygxhfq.ce.ms
jddpvzw.ce.ms
jejmqny.ce.ms
jlruxuf.ce.ms
jqqvqnv.ce.ms
jvhqpyj.ce.ms
ldntbtg.ce.ms
lkddqig.ce.ms
miulvnp.ce.ms
neitfvf.ce.ms
norwdyd.ce.ms
obsnkwx.ce.ms
oqylgfb.ce.ms
pyxthzm.ce.ms
qbdptev.ce.ms
rkzdnlm.ce.ms
rrfrahh.ce.ms
saogsek.ce.ms
sqwdoei.ce.ms
tazaopm.ce.ms
tyldrgy.ce.ms
ujbtapn.ce.ms
uvqyfnd.ce.ms
vwtnddd.ce.ms
wfbanyv.ce.ms
wukiuxb.ce.ms
wxatkfz.ce.ms
xalagnq.ce.ms
yvfeyyn.ce.ms
zhmeqqs.ce.ms
aadsfqle.ce.ms
aahoqmie.ce.ms
adokxrbx.ce.ms
adpiisyi.ce.ms
azyvxiqw.ce.ms
bwwrudue.ce.ms
ccybfonk.ce.ms
dlylxoca.ce.ms
dplvoghe.ce.ms
egezeqki.ce.ms
fjjlnqdt.ce.ms
flgsajeb.ce.ms
fonpxxvd.ce.ms
gwlgkror.ce.ms
gwtowtjz.ce.ms
hezfpxvr.ce.ms
iesathjc.ce.ms
iigijrqo.ce.ms
ijcyicbj.ce.ms
iupyrwes.ce.ms
kzomxpkx.ce.ms
ltaqntzd.ce.ms
ltjohroy.ce.ms
mhivnltw.ce.ms
nanxawdp.ce.ms
nhdoyayw.ce.ms
nktxmecg.ce.ms
nucmqeml.ce.ms
ogmoupcf.ce.ms
pdmhojaf.ce.ms
phlmdkkg.ce.ms
ptufrgou.ce.ms
pwhwhatr.ce.ms
qgewkpxr.ce.ms
raqdiqwr.ce.ms
reoawbqz.ce.ms
sigafisv.ce.ms
spdyccmi.ce.ms
srqdtssc.ce.ms
tfxjtthw.ce.ms
tlzfdnjv.ce.ms
twszglot.ce.ms
ulpgjmhh.ce.ms
vcrlyfcm.ce.ms
viamftgu.ce.ms
vinlgixi.ce.ms
vlyhbwqp.ce.ms
vvmqwzjd.ce.ms
wanolzyh.ce.ms
wcvlwcqz.ce.ms
wocsgoku.ce.ms
wrtetrxh.ce.ms
xacnagya.ce.ms
xbpfgoob.ce.ms
xyzrriwp.ce.ms
yclrslbn.ce.ms
yfonzetf.ce.ms
zdzmkdll.ce.ms
znfxgwwr.ce.ms
aanhryihh.ce.ms
amwthlqru.ce.ms
axikehkes.ce.ms
axrgpgnay.ce.ms
bqtvpxibn.ce.ms
bsaqfqzof.ce.ms
bugtjtgwx.ce.ms
cmuvcunas.ce.ms
cqszgtvxd.ce.ms
cwpdeuvmo.ce.ms
desajkhtt.ce.ms
dgxdydvqu.ce.ms
dhmykycap.ce.ms
djgkxulbq.ce.ms
dldbiwlib.ce.ms
dmmwbnmba.ce.ms
ebeecytff.ce.ms
eehxpgnfa.ce.ms
elvliioxz.ce.ms
ewqvmeirc.ce.ms
festcfwmb.ce.ms
fnmqkvqhc.ce.ms
fnwqxoaqd.ce.ms
gjfqabqzs.ce.ms
gkqssznth.ce.ms
glfvlbsqy.ce.ms
godlblffu.ce.ms
gxvkuefqy.ce.ms
gzwynxrdz.ce.ms
hagduqcbi.ce.ms
hbddtiimz.ce.ms
hjutzoytz.ce.ms
hpuurfkft.ce.ms
hrrdabsgc.ce.ms
hvcsfnnbl.ce.ms
hxnvbogua.ce.ms
ibhmbiujp.ce.ms
ibnrnrsca.ce.ms
ihtxwgrri.ce.ms
ikbpsegqa.ce.ms
imozsewyo.ce.ms
inyqjraby.ce.ms
iqwkvaleh.ce.ms
iqxflmwpo.ce.ms
ivejampkn.ce.ms
jhzzwrnnv.ce.ms
jkmxhwjzd.ce.ms
jmjnguloo.ce.ms
jovrpwfks.ce.ms
jrctenbni.ce.ms
khnzohexi.ce.ms
klkzahmar.ce.ms
kogqvmbyl.ce.ms
ldgtxgznq.ce.ms
ldzjcvqai.ce.ms
liowklchs.ce.ms
lqvncgwsu.ce.ms
mffhjjuyo.ce.ms
mhiyegpwm.ce.ms
mpnfrtxkb.ce.ms
mxzhmcyus.ce.ms
nbgatlklr.ce.ms
ncqpfwapp.ce.ms
nrsxuxxjk.ce.ms
nzaqohego.ce.ms
ofzdzqhgs.ce.ms
oknstngdx.ce.ms
ooiebkatd.ce.ms
oowkipkpf.ce.ms
ortshbpzv.ce.ms
oueaegkkt.ce.ms
owhhnjtvt.ce.ms
pbxyhsjcl.ce.ms
phttlfxnv.ce.ms
pnsohrgpm.ce.ms
pqqhqklih.ce.ms
qngclqeln.ce.ms
qxztybniy.ce.ms
rdmhzrzab.ce.ms
rllwnboym.ce.ms
rvbkzpsls.ce.ms
rypwddplv.ce.ms
rytfgngkw.ce.ms
sbealjyie.ce.ms
sbryweuao.ce.ms
sdgokmpmp.ce.ms
sfkgvnqll.ce.ms
shhgcqijh.ce.ms
shkrbmwiq.ce.ms
sikoastac.ce.ms
soabvshxw.ce.ms
srcfkmvtz.ce.ms
sstmzbmvc.ce.ms
szdigkjog.ce.ms
thchbcfsr.ce.ms
thxvwlnst.ce.ms
udprbpncg.ce.ms
uiniyiwze.ce.ms
upsbjrgpy.ce.ms
upthfdgon.ce.ms
uuybeevvw.ce.ms
vexojepsn.ce.ms
vojehftlt.ce.ms
vwhbcowxu.ce.ms
vwvabbujm.ce.ms
wodutsrzu.ce.ms
wyfhzlmkw.ce.ms
wzyxueqhy.ce.ms
xbaxsnihc.ce.ms
ygmehzjlg.ce.ms
yorzhrizg.ce.ms
ypflxjlzo.ce.ms
zlkaimpeq.ce.ms
ztngnmmib.ce.ms
zxtvqkftz.ce.ms
aknmlvkeho.ce.ms
apiuxcoauy.ce.ms
buygunnsnw.ce.ms
cblfdefxmf.ce.ms
cmbwsssnlo.ce.ms
cwoomqxtjo.ce.ms
dohnebpdrp.ce.ms
dyioatrhnx.ce.ms
eqqtdwbnwg.ce.ms
eyeamccxvb.ce.ms
hlmewfctuc.ce.ms
iqqspkqdji.ce.ms
jjyzwvufmb.ce.ms
jsgecgfnrw.ce.ms
kvmchjinmu.ce.ms
lglqkkqybq.ce.ms
lqsyddcoot.ce.ms
lvscrnzqzm.ce.ms
mgxstzpxfv.ce.ms
nflmyecafv.ce.ms
nmwhryeybz.ce.ms
noilnvnsie.ce.ms
nuyzxhxyqn.ce.ms
oixtvfudyd.ce.ms
pnfyoidgkn.ce.ms
pnsntpjnhw.ce.ms
pvfnpwoyjq.ce.ms
pxafmmglnp.ce.ms
qdmxpqpkbk.ce.ms
razocjpywj.ce.ms
rcmtvlzbuk.ce.ms
rljgnvkghq.ce.ms
rlybfffajb.ce.ms
rybrueryce.ce.ms
sokhxokonz.ce.ms
spuiygpbcr.ce.ms
sweaxoedyw.ce.ms
sygsgahycs.ce.ms
tepbzktaqg.ce.ms
uupkufucmx.ce.ms
vcoewypubi.ce.ms
xerrwvuuzb.ce.ms
xhmqllyufj.ce.ms
xmfydbnjgq.ce.ms
ydokioxqpc.ce.ms
yefwipbiih.ce.ms
ysjeguxpmt.ce.ms

These are lists of IPs that ns1.boomsco.com (created 2013-01-13) and ns1.larstor.com (created 2012-12-22) were pointing to since their creation.  The lists show how fast the ips change - more than 9,000 times over 30-45 days. There are many infected hosts but it does not mean that every host in the list was infected. Some IPs only were used for a second, which also demonstrates the evasive nature of the fast flux.
http://files.deependresearch.org/logs/boomsco_asn.txt
http://files.deependresearch.org/logs/larstor_asn.txt


Malware functionality and system changes.
Based on 0C921935F0880B5C2161B3905F8A3069 - active fresh sample, first seen by Virus 2013-02-06, PE date stamp 2011-30-10.

We also analyzed fresh samples with 2013 PE date stamps and observed same / similar functionality (some lack some features like Firefox or FTP password stealing or while others have the full set).  Compared to Dec. 2012 post by abuse.ch, the overall functionality did not change much. 

Functionality:

• Installs winpcap and monitors traffic
• Keylogging capabilities 

see SetWindowsHookExW - in KERNEL32.dll imports

• Steals Bitcoin wallet data (read more here https://en.bitcoin.it/wiki/Securing_your_wallet)

C:\Documents and Settings\\Application Data\Bitcoin\wallet.dat

• Parses Firefox's Password Manager Local Database in order to steal stored passwords: Firefox stores password data in two files: key3.db (Master Password / Encryption key) and a 'signons' file (encrypted names and passwords). Reads:

--%USERPROFILE%\Application Data\Mozilla\Firefox\Profiles\[xxxxxx].default\signons.sqlite

--%USERPROFILE%\Application Data\Mozilla\Firefox\Profiles\[xxxxxx].default\signons.sqlite

--%USERPROFILE%\Application Data\Mozilla\Firefox\Profiles\[xxxxxx].default\key3.db

--%USERPROFILE%\[username]\Application Data\Mozilla\Firefox\Profiles\[xxxxxx].default\key3.db

See SQL related imports in ODBCJT32.dll

SQLGetCursorNameW
SQLFreeStmt
SQLGetConnectAttrW
ConfigDialogProc
SQLSetCursorNameW
SQLSetStmtAttrW
SQLFreeConnect
SQLCloseCursor
DefTxtFmtDlgProc
SQLSetConnectAttrW
SQLColumnsW
SQLDisconnect
SQLDriverConnectW
SQLTablesW
SQLGetDiagFieldW
SQLBulkOperations
SQLSetPos
SQLFreeHandle
SQLSetDescFieldW
SQLNumResultCols
SQLConnectW
SQLExecute
SQLProcedureColumnsW
SQLFetch 

• Sends spam

iMimeMessageTree api calls: iMimeMessageTree parses and creates Internet messages. IMimeMessageTree treats a message as a tree of bodies where each body has a header and associated content. It gives a client the most flexible, low-level access to a message. Read more MimeMessageTree Interface http://msdn.microsoft.com/en-us/library/ms711715(v=vs.85).aspx

imports from INETCOMM.dll

MimeOleSMimeCapAddCert
MimeEditIsSafeToRun
MimeOleUnEscapeStringInPlace
EssSignCertificateDecodeEx
etc.

• As described previously, steals saved passwords from these FTP applications
• (http://www.lavasoft.com/mylavasoft/malware-descriptions/blog/backdoorwin32kelihos-trojanwin32genericbt). You can easily see these in memory ram dumps. 

User Agents used (hardcoded in binaries), you can see in memory dumps or after unpacking

1. Mozilla/5.0 (Windows; U; Windows NT 6.1; ja; rv:1.9.2a1pre) Gecko/20090403 Firefox/3.6a1pre
2. Mozilla/5.0 (X11; U; Linux x86_64; cy; rv:1.9.1b3) Gecko/20090327 Fedora/3.1-0.11.beta3.fc11 Firefox/3.1b3
3. Mozilla/5.0 (Windows; U; Windows NT 5.1; es-AR; rv:1.9.0.11) Gecko/2009060215 Firefox/3.0.11
4. Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_6 ; nl; rv:1.9) Gecko/2008051206 Firefox/3.0
5. Mozilla/5.0 (Windows; U; Windows NT 6.1; es-AR; rv:1.9) Gecko/2008051206 Firefox/3.0
6. Mozilla/5.0 (Windows; U; Windows NT 5.1; pt-BR; rv:1.8.1.15) Gecko/20080623 Firefox/2.0.0.15
7. Mozilla/5.0 (Windows; U; Windows NT 6.0; zh-HK; rv:1.8.1.7) Gecko Firefox/2.0
8. Mozilla/5.0 (Windows; U; Win95; it; rv:1.8.1) Gecko/20061010 Firefox/2.0
9. Mozilla/5.0 (Windows; U; Windows NT 5.0; en-US; rv:1.8.0.7) Gecko/20060909 Firefox/1.5.0.7
10. Mozilla/5.0 (ZX-81; U; CP/M86; en-US; rv:1.8.0.1) Gecko/20060111 Firefox/1.5.0.1
11. Mozilla/5.0 (X11; U; NetBSD alpha; en-US; rv:1.8) Gecko/20060107 Firefox/1.5
12. Mozilla/5.0 (Windows; U; Windows NT 5.2; en-US; rv:1.8b5) Gecko/20051006 Firefox/1.4.1
13. Mozilla/5.0 (X11; I; SunOS sun4u; en-GB; rv:1.7.8) Gecko/20050713 Firefox/1.0.4
14. Mozilla/5.0 (X11; U; Linux i686; de-AT; rv:1.7.5) Gecko/20041222 Firefox/1.0 (Debian package 1.0-4)
15. Mozilla/5.0 (Windows; U; Win 9x 4.90; rv:1.7) Gecko/20041103 Firefox/0.9.3
16. Mozilla/5.0 (Macintosh; U; PPC Mac OS X Mach-O; fr; rv:1.7) Gecko/20040624 Firefox/0.9
17. Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; FDM; .NET CLR 2.0.50727; InfoPath.2; .NET CLR 1.1.4322)
18. Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET CLR 1.1.4322; Tablet PC 2.0; OfficeLiveConnector.1.3; OfficeLivePatch.1.3; MS-RTC LM 8; InfoPath.3)
19. Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 3.0.04506; .NET CLR 1.1.4322; InfoPath.2; .NET CLR 3.5.21022)
20. Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.2; .NET CLR 1.1.4322)
21. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; Win64; x64; SV1)
22. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30)
23. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)
24. Mozilla/4.0 (compatible; MSIE 5.5; Windows 95)
25. Mozilla/4.0 (compatible; MSIE 4.01; Windows NT 5.0)
26. Mozilla/2.0 (compatible; MSIE 3.0; Windows 3.1)
27. Mozilla/1.22 (compatible; MSIE 1.5; Windows NT)
28. Microsoft Internet Explorer/1.0 (Windows 95)

System Changes

• Sets to load when Windows is started

MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

Changes Internet Explorer's default home page

HKU\S-1-5-21-1715567821-1275210071-839522115-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\UserPlayedActive: "DIhnDzXVnPDA+DO4Z72Q5BeL4OTOAPYBa9ef262UWrJ7soV07MpOXsWicda8NBA0tg=="

• Makes Windows firewall changes:

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List\80:TCP: "80:TCP:*:Enabled:Promo"

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List\53:UDP: "53:UDP:*:Enabled:Promo"

• Service created SERVICES\NPF (winpcap service) WinPcap Packet Driver (NPF)

• The original  copied to

C:\WINDOWS\Temp\temp18.exe

C:\WINDOWS\Temp\kb778817.exe -- deleted

C:\WINDOWS\Temp\tmp.exe -- deleted

Virustotal results of 0c921935f0880b5c2161b3905f8a3069

SHA256: 55885d1928d39600ce3d99617072bf3632db94352fed8032bc3dce3afe665740
SHA1: 05ca64ccfa582e7787d0238f82336a079aba8419
MD5: 0c921935f0880b5c2161b3905f8a3069
File size: 62.5 KB ( 64036 bytes )
File type: Win32 EXE
Tags: peexe
Detection ratio: 23 / 46
Analysis date: 2013-02-06 20:08:42 UTC ( 4 days, 2 hours ago )
Agnitum Trojan.PWS.Tepfer!CPwnyKhdTDg 20130206
AhnLab-V3 Downloader/Win32.Agent 20130206
AntiVir TR/Crypt.XPACK.Gen2 20130206
Avast Win32:Dropper-gen [Drp] 20130206
AVG Win32/Cryptor 20130206
BitDefender Gen:Variant.Kazy.137742 20130206
Comodo TrojWare.Win32.Kryptik.ASEW 20130206
DrWeb Trojan.DownLoader6.380 20130206
ESET-NOD32 a variant of Win32/Kryptik.ASFO 20130206
F-Secure Gen:Variant.Kazy.137742 20130206
Fortinet W32/Kryptik.XUW!tr 20130206
GData Gen:Variant.Kazy.137742 20130206
Ikarus Trojan-PWS.Win32.Tepfer 20130206
Kaspersky Trojan-PSW.Win32.Tepfer.emee 20130206
Kingsoft Win32.Troj.Generic.a.(kcloud) 20130204
McAfee Artemis!0C921935F088 20130206
McAfee-GW-Edition Artemis!0C921935F088 20130206
MicroWorld-eScan Gen:Variant.Kazy.137742 20130206
NANO-Antivirus Trojan.Win32.Kryptik.bevkem 20130206
Norman Kelihos.DA 20130206
Panda Suspicious file 20130206
VBA32 SScope.Trojan.SB.01722 20130206
VIPRE Trojan.Win32.Generic!BT 20130206