Trojan Nap aka Kelihos/Hlux – Feb. 2013 Status Update


Update Feb 11, 2012 Regarding media headlines that it is a “new version”: 
Please note that this post is a “status update” on the growth of the  Kelihos botnet. It is the same botnet and malware as we saw last year. The goal of the post is to highlight the rapid re-growth after the March 2012 takedown and share the recent known domain/name server data.

 FireEye posted details about the sleep function found in Kelihos/Hlux (An encounter with Trojan Nap), which is interesting, and indeed is present in some of the samples we saw. The trojan, of course, has many more features, and most of them were documented in previous publications online. This post is a quick update on the state of Kelihos/Hlux botnet, along with  the list of known fast flux domains (1500+) associated with with Kelihos distribution or Command&Control. (current > 2012).  The current and most active name servers are pointing to the ns[1-6].boomsco.com, ns[1-6].larstor.com, and ns[1-6].zempakiv.ru which are also fast flux domains. The double fast flux nature of the botnet makes it very difficult to take down, and sinkholing is a temporary measure. Despite the two large attempts to take it down (Sep.2011 and Mar. 2012), the botnet is definitely on the rise again. 

Previously published research about Kelihos
Jan. 2013 – Beware of Kelihos-2? – Portable Apps member note
List of  recent MD5 hashes (you can download this sample set from Contagio. There are 95 files). 

01B43C0C8D620E8B88D846E4C9287CCD036ADB0D4B856C2A5E16175BD089FF2403F3B93A9B3D70D9BB9AD829A5F2361D0481B4B12C8C69B735CAC2A918B527900530898731D7165DBABBF6BF252BA77E08862142D7313A1D431D67E0E755EFC7093586512549F2D016AD4C70F4F8E5C80BF067750C7406CF3373525DD09C293C0C921935F0880B5C2161B3905F8A30690FEAAA4ADC31728E54B006AB9A7E6AFA15B6DFADD045E8282C4927F8BDD69D3E15B9C9632510FB4D387D4A02ABF830DD1B342E6682167571B55AB59F3DD38D1E1C04C6B4E0BBBC99CCEE489270C986221E08449CE5848B6ADFEE48B1582EAEEF
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
E2D2A1E508EA30D548293E2C36D64F
787F39D70D2BEC3139A6EA7690B884647E1B91800F2FE9974C7BB18A7097D9337F7E0C58BDF1E47059DD84FFB301F6B78005E44761B842370D43299B29B0F16A80E595253D3E02071D2564BA8296D30884741D6DFFC996D35B8DC0A01111A5DE9010DD12A1419E0F0098FD10CA324E239424EB9DE0558193A6B4D9607C23CBD59C075FB471DC66394090C8BFAA4739A49CA42C5B352DEFB53F8D30C16B36697AA13B21423C5AE7BA318D0D26E672AD22A15F02836309B819DE10068ED49D5D87A56577564E52251C54B27D4CA62C266FA78BE2345E524515E0DD1CCCA3C524F9A8ABECD7C571AAEE6C964514133585F3A910A324394B56022C7AC10DB22EC3F6B1ABD1279A28F22B86A15D6DAFBC28A5B568CF0982C867CD499F953E43738511B63F25D5B02FE00D9423A7CCC0C3CCE2B66475ED30943C0056C9402DCAECB8B9BB5560123C62588988BC22C704CD9E03C06414E1994BF4EFA41911CA81099411C465888536A6785883079043F38143BDC98F3F5709292D6D97AD96C1A8459A81CAAFD0C9B5DC0DAB8D1A3C1D5AF9EE94CCA50DCB8A30B325BF10CED5DAE4D51ACE391D2B2036365D8943257FE1CB967ED4CBEABAE5B4D4BAF14F554C8E9A4E86DCE41A00FB703B6A6324CE4F4C4DB143DE5FDBAD9274B21EA5391F48441D33D8DEAF70F248599985FC32B083F16F251ADF1A932144BF2C6E50FD090FDC1F1408DFE01E12671BBDD7EC0F8BEBA08EC440E2F8F5C80566BF32E1841B3C5A669D42E453463A428A71A5DB19FC18807E747BEB17EB2F02FA871C005C569B3299FCBAEB4DBB18D00321A809A6C4D8594DDF5AF5A6FC81A4F5AE6DEBFAC463DD49E1C2F604C7E4EC3A12A83E0852A9D7FE75CAF96EBF8128BFC6965C73A2659718C663FE501F12B34701CF8AF5DD307C314862


List of files  sorted by PE header Time Date stamp. It is not always indicative of age (and in this case all samples are recent -2013-2012) as the time stamp can be faked but can be helpful for finding variants.

1985-12
      84741D6DFFC996D35B8DC0A01111A5DE
   
2009
      23585DCBA9DFD4719ECC20B2D662D983
      A78BE2345E524515E0DD1CCCA3C524F9
   
2010-01
      03F3B93A9B3D70D9BB9AD829A5F2361D
      787F39D70D2BEC3139A6EA7690B88464
   
2010-02
      5B947FEAA5BFA951C94B11BB9EEA9BC3
   
2010-03
      288E85A4A7756268EBDED1F356531E03
   
2010-04
      0530898731D7165DBABBF6BF252BA77E
      15B6DFADD045E8282C4927F8BDD69D3E
   
2010-05
      B568CF0982C867CD499F953E43738511
      C465888536A6785883079043F38143BD
      CE391D2B2036365D8943257FE1CB967E
   
2010-06
      036ADB0D4B856C2A5E16175BD089FF24
      28A417B0EA5BE796720463607F06CCC9
   
2010-07
      51D3E04AF7E29A1E3A1748E03F0BD578
      70FD6A11E482D756BEF27546AA112206
      76B7BB0CC2E3623078BF9E9A9A343CE1
   
2010-11
      3D0F09DA5C5DBDB2124AEB0953F355B7
   
2010-12
      0FEAAA4ADC31728E54B006AB9A7E6AFA
   
2011-01
      9424EB9DE0558193A6B4D9607C23CBD5
      DFE01E12671BBDD7EC0F8BEBA08EC440
   
2011-02
      352A8AB0D5C7DB40F865B0E7E03B1D96
      BB5560123C62588988BC22C704CD9E03
   
2011-04
      D4CBEABAE5B4D4BAF14F554C8E9A4E86
   
2011-05
      1E08449CE5848B6ADFEE48B1582EAEEF
      B63F25D5B02FE00D9423A7CCC0C3CCE2
      C98F3F5709292D6D97AD96C1A8459A81
   
2011-07
      B66475ED30943C0056C9402DCAECB8B9
   
2011-08
      7F7E0C58BDF1E47059DD84FFB301F6B7
      DCE41A00FB703B6A6324CE4F4C4DB143
      F604C7E4EC3A12A83E0852A9D7FE75CA
   
2011-09
      396B88D48CC04A8C37F4409F65EA8A97
      72C1BEC266B23AF5CB12AE2F669D8784
      77E2D2A1E508EA30D548293E2C36D64F
      9C075FB471DC66394090C8BFAA4739A4
      C06414E1994BF4EFA41911CA81099411
      DF1A932144BF2C6E50FD090FDC1F1408
   
2011-10
      0C921935F0880B5C2161B3905F8A3069
      3D711B47C8FDE2C6A5E62D6AD0BA7BB5
      5ACA74320003576F79CF6EDD0629CC13
   
2011-11
      2B4A5F1C8225D9043AE1302DCCD7063B
      3774D5BD50F4286531FEDF716D83FC6E
      5BA7D2DE0CCC58F104240610BF297E6E
      9CA42C5B352DEFB53F8D30C16B36697A
   
2011-12
      E2F8F5C80566BF32E1841B3C5A669D42
   
2012-01
      F96EBF8128BFC6965C73A2659718C663
   
2012-02
      6F6B016A5DB1791188D7C98A464292CC
   
2012-03
      093586512549F2D016AD4C70F4F8E5C8
   
2012-04
      80E595253D3E02071D2564BA8296D308
   
2012-06
      08862142D7313A1D431D67E0E755EFC7
      223D32E3F6BB9C5A6AD3CD58B898EFA1
      5BECB2498EA801ED010DD073007E20CE
      5FFE38CA9FE07394D1BC5C270E83B253
      A910A324394B56022C7AC10DB22EC3F6
   
2012-07
      3B6A3354B71CD674D4BC27646D270502
      4C2DB57ED5D27F54120765A9FA9C3BC7
   
2012-08
      2304FA9A6A67984CA0FF9E9BF561817A
      7316D0EE9C0B6C23C7CEB2D04DC6B665
      EB4DBB18D00321A809A6C4D8594DDF5A
   
2012-10
      25B4C1C68C58D7D559E8682117D7C01F
      63C926F659C3EDEC0B85C91898622A4D
      6AA100C459E854A9A334B10468EAD014
      8005E44761B842370D43299B29B0F16A
      B1ABD1279A28F22B86A15D6DAFBC28A5
      DEAF70F248599985FC32B083F16F251A
   
2012-11
      766A50581F6E47FF94126C5DBBD9FB01
   
2012-12
      01B43C0C8D620E8B88D846E4C9287CCD
      15B9C9632510FB4D387D4A02ABF830DD
      1B342E6682167571B55AB59F3DD38D1E
      1C04C6B4E0BBBC99CCEE489270C98622
      30EA180ECE416600DABC5ADA0F630D06
      36C90E73120A419B4B00E66177040F43
      3A76AA2439112479635D7172DB2440B1
      44B342383E286465D74A838EE0780DDA
      56AD23082E5E73AAEB95E5A915DF5444
      69170C0C9FB4EEC6A630C4C9182505F0
      6B873B6D21ECC9ADF7246D644B23FB84
      7E1B91800F2FE9974C7BB18A7097D933
      9010DD12A1419E0F0098FD10CA324E23
      A15F02836309B819DE10068ED49D5D87
      A56577564E52251C54B27D4CA62C266F
      A8ABECD7C571AAEE6C964514133585F3
      CAAFD0C9B5DC0DAB8D1A3C1D5AF9EE94
      DE5FDBAD9274B21EA5
391F48441D33D8
      EB17EB2F02FA871C005C569B3299FCBA
      F5A6FC81A4F5AE6DEBFAC463DD49E1C2
   
2013-01
      0481B4B12C8C69B735CAC2A918B52790
      223F7E425BD28AE13A54B2D0017D1E81
      2F091B59382F6CA9E1233EE38B171B2E
      49B6D19F9307C3BBA460C936ADE26B70
      A13B21423C5AE7BA318D0D26E672AD22
      CCA50DCB8A30B325BF10CED5DAE4D51A
      E453463A428A71A5DB19FC18807E747B
   
ÀÄÄÄ2013-02
        4B6DFE2A4B0EF515275AC84B378D5F6F
     
Folder PATH listing
Volume serial number is 40A1-15F9
C:USERSADMINDESKTOPALL
³   log.txt
³
1985-12
      84741D6DFFC996D35B8DC0A01111A5DE
   
2009
      23585DCBA9DFD4719ECC20B2D662D983
      A78BE2345E524515E0DD1CCCA3C524F9
   
2010-01
      03F3B93A9B3D70D9BB9AD829A5F2361D
      787F39D70D2BEC3139A6EA7690B88464
   
2010-02
      5B947FEAA5BFA951C94B11BB9EEA9BC3
   
2010-03
      288E85A4A7756268EBDED1F356531E03
   
2010-04
      0530898731D7165DBABBF6BF252BA77E
      15B6DFADD045E8282C4927F8BDD69D3E
   
2010-05
      B568CF0982C867CD499F953E43738511
      C465888536A6785883079043F38143BD
      CE391D2B2036365D8943257FE1CB967E
   
2010-06
      036ADB0D4B856C2A5E16175BD089FF24
      28A417B0EA5BE796720463607F06CCC9
   
2010-07
      51D3E04AF7E29A1E3A1748E03F0BD578
      70FD6A11E482D756BEF27546AA112206
      76B7BB0CC2E3623078BF9E9A9A343CE1
   
2010-11
      3D0F09DA5C5DBDB2124AEB0953F355B7
   
2010-12
      0FEAAA4ADC31728E54B006AB9A7E6AFA
   
2011-01
      9424EB9DE0558193A6B4D9607C23CBD5
      DFE01E12671BBDD7EC0F8BEBA08EC440
   
2011-02
      352A8AB0D5C7DB40F865B0E7E03B1D96
      BB5560123C62588988BC22C704CD9E03
   
2011-04
      D4CBEABAE5B4D4BAF14F554C8E9A4E86
   
2011-05
      1E08449CE5848B6ADFEE48B1582EAEEF
      B63F25D5B02FE00D9423A7CCC0C3CCE2
      C98F3F5709292D6D97AD96C1A8459A81
   
2011-07
      B66475ED30943C0056C9402DCAECB8B9
   
2011-08
      7F7E0C58BDF1E47059DD84FFB301F6B7
      DCE41A00FB703B6A6324CE4F4C4DB143
      F604C7E4EC3A12A83E0852A9D7FE75CA
   
2011-09
      396B88D48CC04A8C37F4409F65EA8A97
      72C1BEC266B23AF5CB12AE2F669D8784
      77E2D2A1E508EA30D548293E2C36D64F
      9C075FB471DC66394090C8BFAA4739A4
      C06414E1994BF4EFA41911CA81099411
      DF1A932144BF2C6E50FD090FDC1F1408
   
2011-10
      0C921935F0880B5C2161B3905F8A3069
      3D711B47C8FDE2C6A5E62D6AD0BA7BB5
      5ACA74320003576F79CF6EDD0629CC13
   
2011-11
      2B4A5F1C8225D9043AE1302DCCD7063B
      3774D5BD50F4286531FEDF716D83FC6E
      5BA7D2DE0CCC58F104240610BF297E6E
      9CA42C5B352DEFB53F8D30C16B36697A
   
2011-12
      E2F8F5C80566BF32E1841B3C5A669D42
   
2012-01
      F96EBF8128BFC6965C73A2659718C663
   
2012-02
      6F6B016A5DB1791188D7C98A464292CC
   
2012-03
      093586512549F2D016AD4C70F4F8E5C8
   
2012-04
      80E595253D3E02071D2564BA8296D308
   
2012-06
      08862142D7313A1D431D67E0E755EFC7
      223D32E3F6BB9C5A6AD3CD58B898EFA1
      5BECB2498EA801ED010DD073007E20CE
      5FFE38CA9FE07394D1BC5C270E83B253
      A910A324394B56022C7AC10DB22EC3F6
   
2012-07
      3B6A3354B71CD674D4BC27646D270502
      4C2DB57ED5D27F54120765A9FA9C3BC7
   
2012-08
      2304FA9A6A67984CA0FF9E9BF561817A
      7316D0EE9C0B6C23C7CEB2D04DC6B665
      EB4DBB18D00321A809A6C4D8594DDF5A
   
2012-10
      25B4C1C68C58D7D559E8682117D7C01F
      63C926F659C3EDEC0B85C91898622A4D
      6AA100C459E854A9A334B10468EAD014
      8005E44761B842370D43299B29B0F16A
      B1ABD1279A28F22B86A15D6DAFBC28A5
      DEAF70F248599985FC32B083F16F251A
   
2012-11
      766A50581F6E47FF94126C5DBBD9FB01
   
2012-12
      01B43C0C8D620E8B88D846E4C9287CCD
      15B9C9632510FB4D387D4A02ABF830DD
      1B342E6682167571B55AB59F3DD38D1E
      1C04C6B4E0BBBC99CCEE489270C98622
      30EA180ECE416600DABC5ADA0F630D06
      36C90E73120A419B4B00E66177040F43
      3A76AA2439112479635D7172DB2440B1
      44B342383E286465D74A838EE0780DDA
      56AD23082E5E73AAEB95E5A915DF5444
      69170C0C9FB4EEC6A630C4C9182505F0
      6B873B6D21ECC9ADF7246D644B23FB84
      7E1B91800F2FE9974C7BB18A7097D933
      9010DD12A1419E0F0098FD10CA324E23
      A15F02836309B819DE10068ED49D5D87
      A56577564E52251C54B27D4CA62C266F
      A8ABECD7C571AAEE6C964514133585F3
      CAAFD0C9B5DC0DAB8D1A3C1D5AF9EE94
      DE5FDBAD9274B21EA5391F48441D33D8
      EB17EB2F02FA871C005C569B3299FCBA
      F5A6FC81A4F5AE6DEBFAC463DD49E1C2
   
2013-01
      0481B4B12C8C69B735CAC2A918B52790
      223F7E425BD28AE13A54B2D0017D1E81
      2F091B59382F6CA9E1233EE38B171B2E
      49B6D19F9307C3BBA460C936ADE26B70
      A13B21423C5AE7BA318D0D26E672AD22
      CCA50DCB8A30B325BF10CED5DAE4D51A
      E453463A428A71A5DB19FC18807E747B
   
2013-02
      4B6DFE2A4B0EF515275AC84B378D5F6F
   
09-2020
      22AE2A6FF14C58265B5C79FBC25A91B6
     

    

Some of the domains we saw from the binaries above: (see the full list of associated domains below)
akpuxqaz.ru

apnifosa.ru
bugfivin.ru 
cagremub.ru
diqnawug.ru
dufyhive.ru
jiwviqpa.ru
merwiqca.ru
wowrizep.ru

Traffic information

GET /instcod.exe HTTP/1.0
Host: wowrizep.ru

HTTP/1.1 200 Ok
Server: Apache
Content-Length: 785920
Content-Type: application/octet-stream
Last-Modified: .., 06 … 2013 13:47:52 GMT
Accept-Ranges:
bytes
MZ………………….@……………………………..|………..!..L.!..This program must be run under Win32Domains associated with Kelihos distribution and CnC

The http request is still incomplete in this example (as described here http://www.abuse.ch/?p=3658)

URL:  http://wowrizep.ru/instcod.exe
TYPE: GET
UA:   None
URL:  http://jiwviqpa.ru/instcod.exe
TYPE: GET

wowrizep.ru

nserver:       ns2.larstor.com.  (other name servers listed below)nserver:       ns3.larstor.com.nserver:      ns4.larstor.com.nserver:       ns5.larstor.com. nserver:       ns6.larstor.com. state:         REGISTERED, NOT DELEGATED, UNVERIFIED
person:        Private Person
registrar:     REGGI-REG-RIPN
admin-contact: https://panel.reggi.ru/user/whois/webmail/
created:       2012.12.22
paid-till:     2013.12.22free-date:     2014.01.22


Over 6 hours one infected machine had communications with over 1550 peers (unique IPs). Traffic  flow shown from our sandbox IP in San Francisco, CA


Known domains associated with Kelihos/Hlux distribution and command&control servers (Feb. 2013-2012)

Hundreds of domains pointing to these name servers are listed below as one list. If you see “.com” in the list, this is a name sever and is where the next batch of domains begins. You should see  batches for these name servers (1500+) that are associated with Redkit, Blackhole and other exploit kits mostly delivering Kelihos/Hlux and sometimes Virut, that has been associated with this botnet as well (Jan.  2013 – Waledac Gets Cozy with Virut – Symantec).  Some domains were moved to new name servers as the old ones were suspended. (for example, many domains were moved from ns[1-6].systeat.com to ns[1-6].turbusy.com.

Compare it to the usage of eu domains from the last year here http://www.abuse.ch/?p=3658.

RU domains

  • ns[1-6].boomsco.com  – domains registered on 2013-01-13  << most active now
  • ns[1-6].larstor.com – domains registered on 2012-12-22 << most active now 
  • ns[1-6].berchae.com (suspended) – domains registered on 2012-12-21
  • ns[1-6].zempakiv.ru – domains registered on 2012.12.07 << most active now 
  • ns[1-6].newrect.com – domains registered on 2012-08-01 
  • ns[1-6].turbusy.com – domains registered on 2012-12-07 
  • ns[1-6].chokode.com (suspended) – domains registered on 2012-09-06 
  • ns[1-6].biocruc.com (suspended) – domains registered on 2012-07-15 
  • ns[1-6].systeat.com  (suspended) – domains registered on 2012-07-07 
  • ns[1-6].affour.com (suspended) –  domains registered on 2012-06-29
  • ns[1-6].reetsp.com (suspended) –  domains registered on 2012-06-29
  • ns[1-6].oparle.com  –  domains registered on 2012-06-05 
  • ns[1-6].toastop.com (suspended) – domains registered on 2012-05-27
  • ns[1-6].ocorti.com  (suspended) – domains registered on 2012-04-21
  • ns[1-6].esanty.com  (suspended) – domains registered on 2012-04-09
  • ns[1-6].diastr.com (suspended) – domains registered on 2012-04-09
  • ns[1-6].snapoli.com (suspended) – domains registered on 2012-04-02
  • ns[1-6].maguiso.com  (suspended) – domains registered on 2012-03-05
  • ns[1-6].swartra.com – domains registered on 2011-10-12

EU domains

  • ns[1-6].frostli.com  (suspended) – domains registered on 2012-04-21
  • ns[1-6].pizzebu.com   (suspended) – domains registered on 2012-01-13

IN domains

  • ns[1-6].firstara.com – domains registered on 2012-3-8

CE.MS domains (used before 2012)

  • ns[1-6].roblect.com – domains registered on 2011-12-01
  • ns[1-6].galloma.com – domains registered on 2011-10-31

Domain list
All known domains sorted by the name server and age (newest on top – see the name server registration dates on top)  If you see any machines connecting to any of these domains, it is likely be infected.  Listed by nameservers and NS create date. There is some duplicates in the list as same domain could move from one NS to another.

Download:
http://files.deependresearch.org/logs/activeNS-kelihos-feb2013.txt – txt file with 430+ domains using currently active name servers = > for active defense
boomsco.com
larstor.com
zempakiv.ru
newrect.com
turbusy.com

http://files.deependresearch.org/logs/all-known-domains-kelihos-2012-2013.txt – txt file with all 1550+ known to us Kelihos domains including suspended and sinkholed (2013-2011). Sorted by age (newest-oldest) = for DNS monitoring and research.

 There are 1550+ unique domains.

ns[1-6].boomsco.com
aggeymin.ru
amxylkap.ru
aqqajofi.ru
asyknika.ru
bojsedyt.ru
cevlyxaq.ru
copapjid.ru
cujemjev.ru
dikojnah.ru
dobikuwe.ru
dubfoluc.ru
dyrzaqfu.ru
dyxketam.ru
egygumlo.ru
fachejyp.ru
favickov.ru
fycedqek.ru
fytfotlo.ru
giffunri.ru
gishabet.ru
guqyvzap.ru
gybebeho.ru
gyvolnac.ru
icepijog.ru
iszivkyc.ru
jiyknuqi.ru
linyaqor.ru
lisybsij.ru
lyfqekow.ru
nebgisyk.ru
ojvectyk.ru
olsicwiq.ru
owideker.ru
pahfyhfi.ru
papcybop.ru
pecunvom.ru
pegarpem.ru
pipuwbap.ru
pusycqyz.ru
qatuhnaf.ru
qiqwoxki.ru
qysmahku.ru
rulwu
syc.ru
sedfibyr.ru
solhusny.ru
sudiydyx.ru
syrjikhe.ru
tegeqfux.ru
tepmahiq.ru
tijenric.ru
todqenym.ru
tubtihiv.ru
uvvycceh.ru
vacrajak.ru
viackipa.ru
vubupbeb.ru
vybakcov.ru
vyfnozed.ru
vygwomak.ru
wevwubhy.ru
woldanov.ru
xifaknow.ru
xitydjeg.ru
xizzawvu.ru
xyjiekfe.ru
yjaqexha.ru
ykmeffyw.ru
ylgoaxle.ru
yvxaghod.ru
zakiixwe.ru
zehyqjol.ru
zyfwomep.ru
zyqutfeb.ru
zyrapfev.ru

ns[1-6].larstor.com
acdastas.ru
afdotrin.ru
akmaxook.ru
akpuxqaz.ru
anhofciv.ru
apnifosa.ru
awetefid.ru
batycfac.ru
bowbiluk.ru
bugfivin.ru
cagremub.ru
cimhuspi.ru
didcufun.ru
diqnawug.ru
diteqciq.ru
dofihhog.ru
dokelzel.ru
dufyhive.ru
ecrihgep.ru
ejzazsax.ru
ektizzab.ru
eldacbet.ru
epejanhi.ru
ewenhugi.ru
fedvojvy.ru
fetolbus.ru
gehxehib.ru
goktypxi.ru
guphumsa.ru
hulirkox.ru
ixehmona.ru
jasfagal.ru
jiwviqpa.ru
jizevcyr.ru
jizugqux.ru
joljihuk.ru
jonkisig.ru
junedles.ru
kevzimom.ru
kicsodho.ru
laqursoh.ru
lejbomor.ru
lilkepiv.ru
liwuwquh.ru
lofibvar.ru
lymurufa.ru
merwiqca.ru
nopepkaq.ru
nosgazim.ru
nozwyhvi.ru
nylzudwo.ru
ocbiccan.ru
odmurwal.ru
ophirjih.ru
otfasdac.ru
pikkokih.ru
pinvahub.ru
pofhufso.ru
pomywwaq.ru
pypwalve.ru
qyxoxuzo.ru
rabpabyr.ru
racapsyq.ru
raguhloc.ru
rujascur.ru
soduvnec.ru
sumjecyg.ru
tuguijab.ru
tyjkexax.ru
ugnyspyr.ru
uhpygxav.ru
uqoquchy.ru
vibewpav.ru
vopiifdu.ru
vortatar.ru
vyzyxqyg.ru
wowrizep.ru
wufjajcy.ru
xivobwyb.ru
yficebnu.ru
ynpucwif.ru
ypvudhek.ru
zazzeqan.ru
zedwyzuc.ru
zegkyfga.ru
zunvexuq.ru

ns2.oilined.com
abofaxtu.ru
afxeftof.ru
ajgijuap.ru
atkoskih.ru
atxembef.ru
avmakpyt.ru
axcakqif.ru
azvaebyn.ru
bakuzbuq.ru
bangurec.ru
behbusqu.ru
cesivpil.ru
citpoloj.ru
cucaklif.ru
cundimam.ru
dohjapju.ru
enhawcus.ru
etujaqhe.ru
faplejir.ru
fawsilom.ru
fidqyzar.ru
fiwbyjhu.ru
focpidas.ru
fyzsicat.ru
gijcodox.ru
girwysca.ru
gywquroz.ru
hevlehaw.ru
hezyddij.ru
hikutcur.ru
ibjiocuw.ru
ihdidcyd.ru
ikbyznod.ru
irtoexki.ru
isbegisy.ru
iwhuwugy.ru
iwnemfam.ru
ixfocgaf.ru
jilvoqsi.ru
jiragsug.ru
jureetse.ru
juuqbuah.ru
kixqusos.ru
kugfulyw.ru
lafdamow.ru
lecjefys.ru
linsubby.ru
liwmiccu.ru
mywbywur.ru
narzoquc.ru
norfikuf.ru
nowqubxi.ru
nudsawyj.ru
nuzejviz.ru
nypmivhy.ru
nyzvelew.ru
ogedlayc.ru
oqivynle.ru
owtaprel.ru
pegkowoz.ru
powosjec.ru
qamelzyc.ru
qufexkig.ru
qyqkedpy.ru
qysriloh.ru
rehvuwib.ru
rosacomi.ru
ryqpynar.ru
secegbiw.ru
sepsiqbo.ru
sybqipfe.ru
syxozwag.ru
taosiram.ru
tiglatep.ru
toszegky.ru
towmidar.ru
tozlisdi.ru
tunzovnu.ru
tyryfpix.ru
ucxegxox.ru
urvohnux.ru
vagavheh.ru
vehyfgor.ru
wascadux.ru
waxpehby.ru
worgukiw.ru
xoztyhto.ru
ydfivmim.ru
yjjipdyl.ru
yksigxes.ru
ykyczeis.ru
zempakiv.ru
zifrazah.ru
zitifhuz.ru
zurgovod.ru
zuzikkeg.ru

ns[1-6].newrect.com
avenqyz.ru
axbuzyg.ru
azkenyb.ru
azkygaj.ru
baefrih.ru
bicjeko.ru
buhfyta.ru
bumwiyc.ru
bypimih.ru
byxkauv.ru
ceguheq.ru
copyseq.ru
deqbyyq.ru
ebtanij.ru
ekabdyz.ru
ekafken.ru
emjokar.ru
epsaboq.ru
eqtiwuf.ru
evleseh.ru
evutdoz.ru
ewtaniq.ru
focegob.ru
folkaax.ru
fubojla.ru
fuvijsa.ru
fynydre.ru
fyvavcu.ru
goxizap.ru
harwauz.ru
haxuryg.ru
himytyp.ru
hucimaf.ru
huwxiyl.ru
iloblod.ru
ilulxak.ru
innefwo.ru
irroxux.ru
jakybus.ru
jerjigo.ru
jifecad.ru
jokbuoj.ru
jyluxel.ru
kidazpa.ru
kovawap.ru
kykufep.ru
latokoz.ru
lirowyg.ru
lofbiwa.ru
lohucif.ru
lujmyvo.ru
majiqec.ru
mochusi.ru
neiscig.ru
nixuxor.ru
nodyfux.ru
nonogci.ru
nycaqsy.ru
nyygtic.ru
obymhij.ru
odgazoz.ru
ogazbyj.ru
ogpexol.ru
ohdujne.ru
ollobun.ru
onixdud.ru
orxykud.ru
otrasan.ru
owpejip.ru
pyjivga.ru
qadazor.ru
qadyqow.ru
qaokdyj.ru
qaromyz.ru
qewkima.ru
qovizki.ru
rijygur.ru
rovikvy.ru
ruqyxed.ru
ryygwoh.ru
sejyfat.ru
semgijo.ru
tenuluc.ru
tivizty.ru
towilax.ru
tuqjyze.ru
ugcyneg.ru
unwylhi.ru
unxajen.ru
urekkyf.ru
uvehpan.ru
vaqnula.ru
vepyhga.ru
viqsieb.ru
voqukyh.ru
wekveom.ru
wenybwu.ru
weozgyv.ru
wokseja.ru
wufkedy.ru
wumyhma.ru
wylyhan.ru
xeatsif.ru
xiguzow.ru
xowkocy.ru
xurywdo.ru
xyqysaf.ru
ydhomum.ru
ydywzik.ru
zegykso.ru
zofabby.ru
zuattiw.ru
zyglooj.ru
zytidel.ru
abofaxtu.ru
afxeftof.ru
ahtiagge.ru
ajgijuap.ru
atkoskih.ru
atxembef.ru
avmakpyt.ru
axcakqif.ru
azvaebyn.ru
bakuzbuq.ru
bangurec.ru
behbusqu.ru
cesivpil.ru
citpoloj.ru
cucaklif.ru
cundimam.ru
dohjapju.ru
enhawcus.ru
etujaqhe.ru
faplejir.ru
fawsilom.ru
fidqyzar.ru
fiwbyjhu.ru
focpidas.ru
fyzsicat.ru
gasosvaz.ru
gegwikaf.ru
gijcodox.ru
girwysca.ru
gywquroz.ru
hevlehaw.ru
hezyddij.ru
hikutcur.ru
ibjiocuw.ru
ihdidcyd.ru
ikbyznod.ru
irtoexki.ru
isbegisy.ru
iwhuwugy.ru
iwnemfam.ru
ixfocgaf.ru
jilvoqsi.ru
jiragsug.ru
jureetse.ru
juuqbuah.ru
kixqusos.ru
kugfulyw.ru
lafdamow.ru
lecjefys.ru
linsubby.ru
liwmiccu.ru
mywbywur.ru
narzoquc.ru
norfikuf.ru
nowqubxi.ru
nudsawyj.ru
nuzejviz.ru
nypmivhy.ru
nyzvelew.ru
ogedlayc.ru
oqivynle.ru
owtaprel.ru
pegkowoz.ru
powosjec.ru
qamelzyc.ru
qufexkig.ru
qyqkedpy.ru
qysriloh.ru
rehvuwib.ru
rosacomi.ru
ryqpynar.ru
secegbiw.ru
sepsiqbo.ru
sybqipfe.ru
syxozwag.ru
taosiram.ru
tiglatep.ru
toszegky.ru
towmidar.ru
tozlisdi.ru
tunzovnu.ru
tyryfpix.ru
ucxegxox.ru
urvohnux.ru
vagavheh.ru
vehyfgor.ru
voxyqjyc.ru
wascadux.ru
waxpehby.ru
worgukiw.ru
xoztyhto.ru
ydfivmim.ru
yjjipdyl.ru
yksigxes.ru
ykyczeis.ru
zifrazah.ru
zitifhuz.ru
zurgovod.ru
zuzikkeg.ru

ns[1-6].turbusy.com
aletazgi.ru
aqzepylu.ru
batpicur.ru
byjlegta.ru
cybbijyl.ru
cylqiduh.ru
deafesqy.ru
egsuista.ru
facujfet.ru
fevnotow.ru
fidedhah.ru
gamselni.ru
gegzyvet.ru
gywilhof.ru
hahsekju.ru
heztymut.ru
huquqxov.ru
ivkikcop.ru
jamwazer.ru
judxagaf.ru
jymeegom.ru
leqgugom.ru
lupylzum.ru
mosjinme.ru
neluzjiv.ru
niliqrix.ru
nobzekyx.ru
ocgaextu.ru
ojpaxlam.ru
oqlapjim.ru
otxolpow.ru
pegyrgun.ru
pevhyvys.ru
pogwytfy.ru
pynxomoj.ru
qutgagnu.ru
ruxymqic.ru
sesuhror.ru
sittanyg.ru
sivzoror.ru
siwebheb.ru
tahfifak.ru
tecviqir.ru
tiwciwux.ru
udemirus.ru
ugsovraw.ru
uwfekfyj.ru
votqygiq.ru
wetifjam.ru
wibveces.ru
wofgyqyv.ru
xeznosfu.ru
xifdupyc.ru
xikmonej.ru
x
ylyvkan.ru
ycjukgup.ru
ynjaprur.ru
ystinqoc.ru
zuqijcel.ru

ns[1-6].chokode.com
aldiplil.ru
apzafqyj.ru
arhutsyb.ru
bawodnes.ru
bepmetic.ru
biskehud.ru
bovtesma.ru
budymnyn.ru
bykicnof.ru
bymritun.ru
cavterjy.ru
cemyyzwe.ru
cihdiryh.ru
cilcenok.ru
ciriljug.ru
colzoqko.ru
copybvow.ru
cuchuqis.ru
cyldoqic.ru
cyxgekle.ru
datsonyl.ru
dawkavka.ru
dibpohog.ru
diumjacu.ru
dotbikeg.ru
ekmydpap.ru
espisceq.ru
etpazxej.ru
exdeflyl.ru
faddixdy.ru
fenqykqy.ru
fettucod.ru
feztaxov.ru
fivfyjmy.ru
gezahcyg.ru
giqudfip.ru
gozzujuc.ru
gyhimkyv.ru
gyzigcyd.ru
hahbikri.ru
hedeqcec.ru
himxyjaj.ru
hoqoxnof.ru
ibpintor.ru
idxoceac.ru
ilsyzfiq.ru
imvypvyz.ru
inboimdi.ru
iwnulvak.ru
jaqvicmy.ru
jozaqpol.ru
karzomug.ru
keturduq.ru
kuedzioc.ru
kumalzoh.ru
kutuqwyc.ru
laqypxez.ru
lavydfen.ru
luhhinwa.ru
maduvhap.ru
mefizner.ru
meglexis.ru
modofpaw.ru
mushycle.ru
mywyflaq.ru
myzyswot.ru
nihagmyv.ru
nihfedki.ru
nivcegik.ru
nobunzal.ru
nogdupty.ru
nohdekyk.ru
nudysmih.ru
nujqamdi.ru
obpippih.ru
odolnaer.ru
olwagmuf.ru
ompassik.ru
oqcilvis.ru
oxbogzus.ru
ozpyrgax.ru
peftuqij.ru
peletbog.ru
pijilvad.ru
pohzebib.ru
puvlyjap.ru
pyvizgaf.ru
qaqipwel.ru
qesaqead.ru
qetivqep.ru
qosxatys.ru
quisoqug.ru
quqkajiv.ru
qytzysyd.ru
rapefzab.ru
rocxokex.ru
romazlon.ru
rufmazruru
rydmuqho.ru
samuzryv.ru
sawvuctu.ru
seslopyn.ru
suhaqtak.ru
sumsonwy.ru
syjinram.ru
sytpigyq.ru
tamyhqok.ru
tesoeqwu.ru
tezujrad.ru
tymurlud.ru
ucajbiud.ru
uhjuftah.ru
uhpadcor.ru
upjyjqux.ru
uqboluqy.ru
uqnymtyq.ru
uxtadson.ru
uxtiwtis.ru
vakcudaq.ru
vargigsi.ru
varobgag.ru
vaxalbax.ru
vecvycte.ru
vedriwmi.ru
vesnobuz.ru
vibawtan.ru
vizxaxel.ru
vomzemyq.ru
vuzjoswy.ru
wazidzaf.ru
wexhunpu.ru
wiqenmoj.ru
wixelnab.ru
wobapbyg.ru
wupromxu.ru
wydybpuv.ru
xemtyroz.ru
ximxupih.ru
xiqpexsy.ru
xityxgem.ru
xudyhbes.ru
xycsapef.ru
ydruofik.ru
ykpaoxyp.ru
yphiquof.ru
yscaduif.ru
ytnainqy.ru
yvmygdus.ru
yzhepqyz.ru
zacakpym.ru
zaguqcux.ru
zamponyt.ru
zehredic.ru
zincikur.ru
zocdisge.ru
zogjolga.ru
zubbivpo.ru
zudxohok.ru
zywjixuw.ru
abaxhad.ru
adnedat.ru
adtesok.ru
asmukuf.ru
awewsip.ru
bipulte.ru
biwuvba.ru
bopwyeb.ru
bowbaiv.ru
byvbymy.ru
caqxaro.ru
citsibe.ru
dalwoza.ru
darabub.ru
dinymak.ru
doxilik.ru
egnisje.ru
estesgo.ru
evdyvaz.ru
fetucxo.ru
fixavpu.ru
gazuzoz.ru
gedopan.ru
gubahvi.ru
haponeg.ru
hedybih.ru
hitakat.ru
ihmytog.ru
ikevzaq.ru
imgohut.ru
ipdehas.ru
irhegre.ru
ivnuvuk.ru
iwvahin.ru
izxirfy.ru
jaibzup.ru
jedytlu.ru
jodkymy.ru
jokenqi.ru
jykyvca.ru
jytorqu.ru
kejejib.ru
kycufvy.ru
lopoqyv.ru
luditla.ru
mabuhos.ru
muhipew.ru
muwosiv.ru
nybzywy.ru
oqjogxi.ru
osmuryf.ru
otpipug.ru
pagubev.ru
pawahav.ru
pyykxug.ru
qiquzcy.ru
quohdit.ru
rekvyfo.ru
rifirac.ru
risytfa.ru
ritrios.ru
rujfeag.ru
rybuhoq.ru
rykafeh.ru
saxyjuw.ru
sihemuj.ru
sohaxim.ru
soqvaqo.ru
sutimjy.ru
taixcih.ru
tikoqox.ru
tozfyma.ru
turiwil.ru
ucelgos.ru
udxowub.ru
udzycaf.ru
uggifym.ru
uhduxic.ru
uhzubvo.ru
umpefan.ru
uqlahaf.ru
uxfokur.ru
uxosgik.ru
veuwhyz.ru
vunjuet.ru
vuohsub.ru
wefecfo.ru
wyjenqo.ru
xenacoz.ru
xofsimi.ru
xogitaj.ru
xomoqol.ru
ybsahov.ru
ydabxag.ru
ykocnar.ru
ynkicyr.ru
yxyqwiz.ru
yzsabuq.ru
zidamuk.ru
zylhomu.ru

ns[1-6].biocruc.com
abaxhad.ru
adnedat.ru
adtesok.ru
asmukuf.ru
awewsip.ru
bipulte.ru
biwuvba.ru
bopwyeb.ru
bowbaiv.ru
byvbymy.ru
caqxaro.ru
citsibe.ru
dalwoza.ru
darabub.ru
dinymak.ru
doxilik.ru
egnisje.ru
estesgo.ru
evdyvaz.ru
fetucxo.ru
fixavpu.ru
gazuzoz.ru
gedopan.ru
gubahvi.ru
haponeg.ru
hedybih.ru
hitakat.ru
ihmytog.ru
ikevzaq.ru
imgohut.ru
ipdehas.ru
irhegre.ru
ivnuvuk.ru
iwvahin.ru
izxirfy.ru
jaibzup.ru
jedytlu.ru
jodkymy.ru
jokenqi.ru
jykyvca.ru
jytorqu.ru
kejejib.ru
kycufvy.ru
lopoqyv.ru
luditla.ru
mabuhos.ru
muhipew.ru
muwosiv.ru
nybzywy.ru
oqjogxi.ru
osmuryf.ru
otpipug.ru
pagubev.ru
pawahav.ru
pyykxug.ru
qiquzcy.ru
quohdit.ru
rekvyfo.ru
rifirac.ru
risytfa.ru
ritrios.ru
rujfeag.ru
rybuhoq.ru
rykafeh.ru
saxyjuw.ru
sihemuj.ru
sohaxim.ru
soqvaqo.ru
sutimjy.ru
taixcih.ru
tikoqox.ru
tozfyma.ru
turiwil.ru
ucelgos.ru
udxowub.ru
udzycaf.ru
uggifym.ru
uhduxic.ru
uhzubvo.ru
umpefan.ru
uqlahaf.ru
uxfokur.ru
uxosgik.ru
veuwhyz.ru
vunjuet.ru
vuohsub.ru
wefecfo.ru
wyjenqo.ru
xenacoz.ru
xofsimi.ru
xogitaj.ru
xomoqol.ru
ybsahov.ru
ydabxag.ru
ykocnar.ru
ynkicyr.ru
yxyqwiz.ru
yzsabuq.ru
zidamuk.ru
zylhomu.ru

ns[1-6].systeat.com
arvomxo.ru
cyeqsov.ru
deicqig.ru
dodexco.ru
dydajej.ru
eqsonas.ru
figbuar.ru
fyefxug.ru
hecrery.ru
huckazu.ru
hyqugry.ru
hysgofy.ru
idxogow.ru
ilmagih.ru
iwahroq.ru
kiqybur.ru
lihibir.ru
meewxib.ru
miwywky.ru
nuycmeh.ru
ofyrmaj.ru
ophopop.ru
papiteb.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
ripebet.ru
rolyjyl.ru
tehomeb.ru
tejuxiv.ru
tisreyp.ru
ubbylys.ru
ufremku.ru
uhwipiq.ru
uslowyj.ru
vesuqpu.ru
vokpaav.ru
xakruaq.ru
yhqinyp.ru
ysufzub.ru
yvufraf.ru
zeryqiq.ru
zihemmi.ru
zoryqky.ru
zynxuih.ru
zypzieb.ru
zysaten.ru
aletazgi.ru
aqzepylu.ru
aswoxmur.ru
batpicur.ru
bepmetic.ru
biskehud.ru
biwtihop.ru
bovtesma.ru
bycmolhy.ru
bygotbys.ru
bymritun.ru
cihdiryh.ru
ciriljug.ru
colzoqko.ru
copybvow.ru
cuchuqis.ru
cybbijyl.ru
cylqiduh.ru
cyxgekle.ru
datsonyl.ru
dawkavka.ru
deafesqy.ru
dehjujuq.ru
diumjacu.ru
dohwapih.ru
exdeflyl.ru
faddixdy.ru
fenqykqy.ru
fettucod.ru
fohfynly.ru
gamselni.ru
gegzyvet.ru
ginnyjyb.ru
gozzujuc.ru
gyhimkyv.ru
gyzigcyd.ru
hahsekju.ru
hezsoxys.ru
heztymut.ru
himxyjaj.ru
huekgouz.ru
huluwhur.ru
huquqxov.ru
ibpintor.ru
ilsyzfiq.ru
inboimdi.ru
iwnulvak.ru
jaqvicmy.ru
jaweckob.ru
jebtelyx.ru
judxagaf.ru
jyggimib.ru
keturduq.ru
kozfofti.ru
kuedzioc.ru
lavydfen.ru
lufsekim.ru
luhhinwa.ru
maduvhap.ru
mefizner.ru
meglexis.ru
mushycle.ru
myzyswot.ru
naselzit.ru
nayxitgy.ru
nihagmyv.ru
nobunzal.ru
nohdekyk.ru
nudysmih.ru
odolnaer.ru
olwagmuf.ru
ompassik.ru
oqcilvis.ru
otxolpow.ru
ozpyrgax.ru
pedugtap.ru
pegyrgun.ru
peletbog.ru
pogwytfy.ru
pohze
bib.ru
pynxomoj.ru
qantysag.ru
qesaqead.ru
qiimovap.ru
qosxatys.ru
quqkajiv.ru
qutgagnu.ru
qytzysyd.ru
racadpuh.ru
rebfelqi.ru
rizsebym.ru
rocxokex.ru
ruxymqic.ru
seslopyn.ru
sexjereh.ru
sivzoror.ru
suhaqtak.ru
sukbewli.ru
syjinram.ru
sytpigyq.ru
tamyhqok.ru
tesoeqwu.ru
tezujrad.ru
tiwciwux.ru
udemirus.ru
ugsovraw.ru
uhjuftah.ru
upjyjqux.ru
uwfekfyj.ru
uwfubpeb.ru
uxtadson.ru
uxtiwtis.ru
vargigsi.ru
vaxalbax.ru
vibawtan.ru
vizxaxel.ru
vomzemyq.ru
vuzjoswy.ru
wapifnuc.ru
warkafoc.ru
wibveces.ru
wixelnab.ru
wobapbyg.ru
wofgyqyv.ru
wupromxu.ru
xeznosfu.ru
xikmonej.ru
xiqpexsy.ru
xudyhbes.ru
xylyvkan.ru
ycjukgup.ru
ydruofik.ru
yphiquof.ru
yscaduif.ru
ystinqoc.ru
yvmygdus.ru
ywsyhrab.ru
yzhepqyz.ru
zacakpym.ru
zaguqcux.ru
zajkihyq.ru
zamponyt.ru
zekufyji.ru
zincikur.ru
zogjolga.ru
zubbivpo.ru
zupivzed.ru
zuqijcel.ru
zywjixuw.ru
arvomxo.ru
avondov.ru
begotav.ru
byypsof.ru
cyeqsov.ru
deicqig.ru
denapgo.ru
devehom.ru
dodexco.ru
dydajej.ru
ebmekis.ru
ebmeqbe.ru
egsopro.ru
ehmyqaq.ru
eqsonas.ru
eqywwoh.ru
essaruc.ru
ezhimim.ru
fafsuuq.ru
figbuar.ru
focvova.ru
fuxjiho.ru
fyefxug.ru
fyvegom.ru
hecrery.ru
hirqusu.ru
hookfiq.ru
huckazu.ru
huzgota.ru
hyqugry.ru
hyxejaj.ru
idxogow.ru
ilmagih.ru
imkaqro.ru
iwahroq.ru
ixomzob.ru
jabyrid.ru
jaccaad.ru
jemudiz.ru
jydybce.ru
kadseop.ru
kiqybur.ru
kobucco.ru
kufdeag.ru
kulegoh.ru
kylqaoq.ru
lihibir.ru
lucypek.ru
meewxib.ru
melimma.ru
mijijub.ru
miwywky.ru
mubidpy.ru
nebirza.ru
nicibma.ru
nutimad.ru
nuycmeh.ru
ofyrmaj.ru
onzomub.ru
ophopop.ru
oxcimun.ru
papiteb.ru
pesudwa.ru
pikihow.ru
poxatli.ru
pyhozod.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
quhokle.ru
rahupvu.ru
rapfuwo.ru
ripebet.ru
rolyjyl.ru
rycgoka.ru
tehomeb.ru
tejuxiv.ru
tenbyvo.ru
tilecak.ru
tisreyp.ru
tonalog.ru
tumrexu.ru
ubbylys.ru
ufremku.ru
uhwipiq.ru
unperyh.ru
upwifav.ru
uslowyj.ru
uxzuhur.ru
uzofmep.ru
vayvdav.ru
vesuqpu.ru
vewehoh.ru
viicdim.ru
vokpaav.ru
vylengo.ru
walybhy.ru
wiofmez.ru
xakruaq.ru
xixikot.ru
xokukat.ru
xuxywpe.ru
yhqinyp.ru
ykqevax.ru
yqegpaz.ru
ysufzub.ru
yvufraf.ru
zeryqiq.ru
zihemmi.ru
zoryqky.ru
zyidgec.ru
zynxuih.ru
zypzieb.ru
zysaten.ru

ns[1-6].reetsp.com
adnedat.ru
adtesok.ru
asmukuf.ru
bipulte.ru
bopwyeb.ru
bowbaiv.ru
byvbymy.ru
caqxaro.ru
egnisje.ru
evdyvaz.ru
hitakat.ru
ikevzaq.ru
imgohut.ru
ipdehas.ru
izxirfy.ru
jokenqi.ru
jykyvca.ru
lopoqyv.ru
nybzywy.ru
osmuryf.ru
otpipug.ru
pagubev.ru
pawahav.ru
risytfa.ru
rybuhoq.ru
sihemuj.ru
soqvaqo.ru
sutimjy.ru
taixcih.ru
turiwil.ru
uhzubvo.ru
umpefan.ru
uxfokur.ru
vuohsub.ru
ybsahov.ru
ydabxag.ru
ykocnar.ru
yxyqwiz.ru
yzsabuq.ru
reetsp.com

ns[1-6]affour.com
arvomxo.ru
cyeqsov.ru
denapgo.ru
dodexco.ru
dydajej.ru
ebmekis.ru
ebmeqbe.ru
ehmyqaq.ru
eqsonas.ru
ezhimim.ru
figbuar.ru
fyefxug.ru
hecrery.ru
huckazu.ru
hyqugry.ru
hysgofy.ru
ilmagih.ru
imkaqro.ru
iwahroq.ru
ixomzob.ru
jabyrid.ru
kylqaoq.ru
lihibir.ru
meewxib.ru
miwywky.ru
ophopop.ru
papiteb.ru
pyhozod.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
ripebet.ru
rolyjyl.ru
tehomeb.ru
tejuxiv.ru
tilecak.ru
tisreyp.ru
ubbylys.ru
uhwipiq.ru
unperyh.ru
uslowyj.ru
uxzuhur.ru
uzanxyk.ru
vayvdav.ru
vesuqpu.ru
viicdim.ru
vokpaav.ru
vylengo.ru
walybhy.ru
wiofmez.ru
xokukat.ru
xuxywpe.ru
yhqinyp.ru
ykqevax.ru
ysufzub.ru
yvufraf.ru
zoryqky.ru
zyidgec.ru
zynxuih.ru
zypzieb.ru
zysaten.ru
affour.com

ns[1-6].toastop.com
arvomxo.ru
avondov.ru
begotav.ru
byypsof.ru
cyeqsov.ru
deicqig.ru
denapgo.ru
devehom.ru
dodexco.ru
dydajej.ru
ebmekis.ru
ebmeqbe.ru
egsopro.ru
ehmyqaq.ru
eqsonas.ru
eqywwoh.ru
essaruc.ru
ezhimim.ru
fafsuuq.ru
figbuar.ru
focvova.ru
fuxjiho.ru
fyefxug.ru
fyvegom.ru
hecrery.ru
hirqusu.ru
hookfiq.ru
huckazu.ru
huzgota.ru
hyqugry.ru
hyxejaj.ru
idxogow.ru
ilmagih.ru
imkaqro.ru
iwahroq.ru
ixomzob.ru
jabyrid.ru
jaccaad.ru
jemudiz.ru
jydybce.ru
kadseop.ru
kiqybur.ru
kobucco.ru
kufdeag.ru
kulegoh.ru
kylqaoq.ru
lihibir.ru
lucypek.ru
meewxib.ru
melimma.ru
mijijub.ru
miwywky.ru
mubidpy.ru
nebirza.ru
nicibma.ru
nutimad.ru
nuycmeh.ru
ofyrmaj.ru
onzomub.ru
ophopop.ru
oxcimun.ru
papiteb.ru
pesudwa.ru
pikihow.ru
poxatli.ru
pyhozod.ru
qawumqi.ru
qobcovy.ru
qubeqxa.ru
quhokle.ru
rahupvu.ru
rapfuwo.ru
ripebet.ru
rolyjyl.ru
rycgoka.ru
tehomeb.ru
tejuxiv.ru
tenbyvo.ru
tilecak.ru
tisreyp.ru
tonalog.ru
tumrexu.ru
ubbylys.ru
ufremku.ru
uhwipiq.ru
unperyh.ru
upwifav.ru
uslowyj.ru
uxzuhur.ru
uzofmep.ru
vayvdav.ru
vesuqpu.ru
vewehoh.ru
viicdim.ru
vokpaav.ru
vylengo.ru
walybhy.ru
wiofmez.ru
xakruaq.ru
xixikot.ru
xokukat.ru
xuxywpe.ru
yhqinyp.ru
ykqevax.ru
yqegpaz.ru
ysufzub.ru
yvufraf.ru
zeryqiq.ru
zihemmi.ru
zoryqky.ru
zyidgec.ru
zynxuih.ru
zypzieb.ru
zysaten.ru

ns[1-6]ocorti.com
ajgufog.ru
bogquse.ru
bylviha.ru
cuekzut.ru
cyuhtut.ru
deivwyx.ru
duebgud.ru
ehakkaz.ru
exmotof.ru
ezirhaz.ru
giczeca.ru
houktuh.ru
ihfajoc.ru
jygowku.ru
jykaxfy.ru
kabezer.ru
kipokfy.ru
lojseuv.ru
nilwoim.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
pidohis.ru
qiohxuv.ru
qoqwoas.ru
qoripwe.ru
raleqle.ru
ripexru.ru
sidinox.ru
suvmune.ru
tevythi.ru
tobjuow.ru
tyhrypo.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
xuzuppu.ru
ypemval.ru
ypyxwon.ru
yqdazyb.ru
yvnahty.ru
ocorti.com

ns[1-6]esanty.com
affuxok.ru
ajgufog.ru
bogquse.ru
cuekzut.ru
cyuhtut.ru
deivwyx.ru
duebgud.ru
ehakkaz.ru
exmotof.ru
ezirhaz.ru
giczeca.ru
houktuh.ru
ihfajoc.ru
jazzute.ru
jygowku.ru
jykaxfy.ru
kabezer.ru
kipokfy.ru
nilwoim.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
pidohis.ru
qiohxuv.ru
qoqwoas.ru
raleqle.ru
ripexru.ru
salyqiz.ru
sidinox.ru
suvmune.ru
tobjuow.ru
tyhrypo.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
xuzuppu.ru
ypemval.ru
ypyxwon.ru
yqdazyb.ru
yvnahty.ru
zuhycyc.ru

ns[1-6].frostli.com
acypruq.eu
ahvorme.eu
akdygij.eu
amjymqe.eu
anuvjiw.eu
arcelje.eu
atnywyz.eu
awwapxe.eu
axcinov.eu
behhayq.eu
bekqyma.eu
betalpo.eu
biysqix.eu
bopihwi.eu< br />bosoxut.eu
bozopit.eu
buzgomu.eu
cetafyb.eu
cezsyox.eu
ciapkox.eu
cirafir.eu
civadke.eu
cocyxmi.eu
cohmouz.eu
cylxaob.eu
dafodup.eu
dilecdo.eu
dimulew.eu
doiqdag.eu
dosysvi.eu
dyofjog.eu
dysfyed.eu
edkadaf.eu
efewfyr.eu
ejywqem.eu
eqvyvej.eu
erlomaj.eu
essessa.eu
esycwyf.eu
etrodhy.eu
evpytej.eu
ezadkam.eu
favorib.eu
favyjxu.eu
fepyjeb.eu
finvami.eu
fivolid.eu
fudyvis.eu
gahemqy.eu
gatocut.eu
gehgoaz.eu
gijaqqo.eu
gipahco.eu
gixseka.eu
gobyvfa.eu
godeffo.eu
goemqag.eu
gorgyli.eu
gycakus.eu
gywafdo.eu
hatahse.eu
havimpa.eu
hiahnuh.eu
hiurmuc.eu
hometxa.eu
huenhaz.eu
ibceqyz.eu
iboqfuk.eu
idbizex.eu
igfowma.eu
ihhosti.eu
ihozvab.eu
ijnihud.eu
isdogon.eu
issolme.eu
iwackim.eu
japonzo.eu
jiaftem.eu
jibagoh.eu
jibyxre.eu
jimikej.eu
jyqilge.eu
kaloliw.eu
kasytpu.eu
koqasiq.eu
kubawvu.eu
kufogku.eu
kuletif.eu
kytyvod.eu
lakedin.eu
laxnelo.eu
lelreyb.eu
lepitmi.eu
leqetso.eu
lewujix.eu
libcauf.eu
luhychu.eu
luxypuj.eu
lywaqvu.eu
macetty.eu
maficyn.eu
miqyhce.eu
monedyg.eu
mozegys.eu
mufidis.eu
nagegal.eu
nexreza.eu
noalbej.eu
nogomiq.eu
nugtile.eu
nuvyhne.eu
nyrylla.eu
ocbogwy.eu
ocgejim.eu
ofxawmi.eu
ogkozew.eu
okmazax.eu
ontabmy.eu
osfylqu.eu
oshefiz.eu
ovvuceq.eu
owxawic.eu
oxkyrir.eu
ozaljek.eu
paqmery.eu
pexigki.eu
poihpuh.eu
povokim.eu
pybxaur.eu
qawajky.eu
qazkaxy.eu
qofabar.eu
quxafif.eu
quzsevy.eu
qyhumet.eu
qyycdyh.eu
retarip.eu
roijtil.eu
rubhiup.eu
runuhax.eu
ruvbaiv.eu
rybunwa.eu
ryflyed.eu
rylliny.eu
saercet.eu
seenruz.eu
seybdec.eu
socriaj.eu
somavko.eu
suzzaav.eu
syfetap.eu
symapmy.eu
tivuzga.eu
tunmayz.eu
tuopbel.eu
udquget.eu
udsopof.eu
ugjypnu.eu
uhdijgi.eu
ujgitip.eu
ukxames.eu
unvevvi.eu
upyqpiz.eu
ussypoc.eu
uswohyl.eu
uxjatqo.eu
vadjani.eu
venuqdy.eu
vepucyk.eu
vizocny.eu
wabomiw.eu
wyylsic.eu
xagublo.eu
xeyhzyc.eu
xijawpa.eu
xumitza.eu
ybocqug.eu
ycpasjy.eu
yhivdob.eu
yhvotyf.eu
yjygtux.eu
ypvipja.eu
ypychuj.eu
yrhodyf.eu
ysfukiw.eu
yvadmap.eu
yvsuxel.eu
zakasoc.eu
zawfyev.eu
zequspu.eu
zexdaga.eu
ziqnypa.eu
zobubof.eu
zogaguj.eu
zoneczu.eu
zuzzuna.eu
zydnimy.eu
zyefhim.eu
zymidaf.eu
zyvacus.eu
frostli.com

ns[1-6].pizzebu.com
awmybak.eu
beqylhe.eu
bozopit.eu
dilecdo.eu
edkadaf.eu
ejywqem.eu
essessa.eu
etrodhy.eu
gipahco.eu
gycakus.eu
hiahnuh.eu
iqqeniv.eu
jerufuw.eu
juzagyt.eu
kareffu.eu
kufogku.eu
monedyg.eu
opgukem.eu
oxkyrir.eu
piqxoxo.eu
qofabar.eu
rivinax.eu
rybunwa.eu
seybdec.eu
suiqtat.eu
udqejyx.eu
ugdycom.eu
usmuzeq.eu
wabomiw.eu
wyylsic.eu
xulotgu.eu
ykqewyx.eu
yraxvuh.eu
zaetpop.eu
zitufon.eu
zobubof.eu
zoneczu.eu
agomdaz.eu
ahmomyx.eu
ahvorme.eu
akdygij.eu
axcinov.eu
bemewan.eu
buzgomu.eu
cikynon.eu
cirafir.eu
ciskuur.eu
cureses.eu
ezadkam.eu
fagahmo.eu
gatocut.eu
gawgulo.eu
gixseka.eu
goemqag.eu
gyhello.eu
hatahse.eu
havimpa.eu
hometxa.eu
idbizex.eu
ileqbew.eu
imarnim.eu
japonzo.eu
jobfyre.eu
kuarzoz.eu
kuletif.eu
kytyvod.eu
lelreyb.eu
lomqybi.eu
lubigne.eu
macetty.eu
mosidgu.eu
movjihi.eu
mufidis.eu
nagegal.eu
nexreza.eu
noalbej.eu
nuvyhne.eu
nuzozuf.eu
ofxawmi.eu
opybxyb.eu
owlyzgi.eu
pefzota.eu
pexigki.eu
qoanxat.eu
qonerne.eu
roqeluv.eu
rylliny.eu
taksusy.eu
tugatiq.eu
udzonek.eu
uffecuj.eu
ugsowqy.eu
uhxesap.eu
ukryxyw.eu
wigiluk.eu
xumitza.eu
xuygcut.eu
xyrpavu.eu
ydbeqes.eu
yfuqcon.eu
yfynqav.eu
yjygtux.eu
yklocgu.eu
ynpysul.eu
yrhodyf.eu
ysfukiw.eu
zanpohe.eu
zyvacus.eu

awmybak.eu
beqylhe.eu
bozopit.eu
dilecdo.eu
edkadaf.eu
ejywqem.eu
essessa.eu
etrodhy.eu
gipahco.eu
gycakus.eu
hiahnuh.eu
iqqeniv.eu
jerufuw.eu
juzagyt.eu
kareffu.eu
kufogku.eu
monedyg.eu
opgukem.eu
oxkyrir.eu
piqxoxo.eu
qofabar.eu
rivinax.eu
rybunwa.eu
seybdec.eu
suiqtat.eu
udqejyx.eu
ugdycom.eu
usmuzeq.eu
wabomiw.eu
wyylsic.eu
xulotgu.eu
ykqewyx.eu
yraxvuh.eu
zaetpop.eu
zitufon.eu
zobubof.eu
zoneczu.eu

pizzebu.com.
agomdaz.eu
ahmomyx.eu
ahvorme.eu
akdygij.eu
axcinov.eu
bemewan.eu
buzgomu.eu
cikynon.eu
cirafir.eu
ciskuur.eu
cureses.eu
ezadkam.eu
fagahmo.eu
gatocut.eu
gawgulo.eu
gixseka.eu
goemqag.eu
gyhello.eu
hatahse.eu
havimpa.eu
hometxa.eu
idbizex.eu
ileqbew.eu
imarnim.eu
japonzo.eu
jobfyre.eu
kuarzoz.eu
kuletif.eu
kytyvod.eu
lelreyb.eu
lomqybi.eu
lubigne.eu
macetty.eu
mosidgu.eu
movjihi.eu
mufidis.eu
nagegal.eu
nexreza.eu
noalbej.eu
nuvyhne.eu
nuzozuf.eu
ofxawmi.eu
opybxyb.eu
owlyzgi.eu
pefzota.eu
pexigki.eu
qoanxat.eu
qonerne.eu
roqeluv.eu
rylliny.eu
taksusy.eu
tugatiq.eu
udzonek.eu
uffecuj.eu
ugsowqy.eu
uhxesap.eu
ukryxyw.eu
wigiluk.eu
xumitza.eu
xuygcut.eu
xyrpavu.eu
ydbeqes.eu
yfuqcon.eu
yfynqav.eu
yjygtux.eu
yklocgu.eu
ynpysul.eu
yrhodyf.eu
ysfukiw.eu
zanpohe.eu
zyvacus.eu

ns[1-6]diastr.com
affuxok.ru
aglycyx.ru
agogsip.ru
ahodxil.ru
ajgufog.ru
aqcanov.ru
avondov.ru
axrohug.ru
baryqyq.ru
bixqijy.ru
bogquse.ru
borutat.ru
butawad.ru
bylviha.ru
cajuhwo.ru
cesisnu.ru
cibudit.ru
coukdyg.ru
cuhugoh.ru
cyuhtut.ru
daagtah.ru
deivwyx.ru
duebgud.ru
efdylve.ru
ehgycuj.ru
eqlasho.ru
exmotof.ru
ezirhaz.ru
fenataj.ru
fyvegom.ru
giczeca.ru
heupjeq.ru
hidafog.ru
hivagdy.ru
houktuh.ru
hugejin.ru
hyjamat.ru
iddyraq.ru
ihfajoc.ru
ixqasib.ru
jyernol.ru
kabezer.ru
kipokfy.ru
koqqeih.ru
kufdeag.ru
kulegoh.ru
kyqolby.ru
lauqpum.ru
lojseuv.ru
lojyzyt.ru
loxusyd.ru
magucjo.ru
melimma.ru
miobrav.ru
mubidpy.ru
nebirza.ru
nilwoim.ru
nimepof.ru
nougxin.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
pesudwa.ru
pidohis.ru
pokatik.ru
pubujux.ru
qiohxuv.ru
qoqwoas.ru
qoripwe.ru
quhokle.ru
raleqle.ru
ripexru.ru
rodejuj.ru
rymyheh.ru
sidinox.ru
suvmune.ru
teuxtik.ru
tevythi.ru
titepob.ru
tobjuow.ru
togpuit.ru
tonalog.ru
tozukem.ru
tyhrypo.ru
ubbylys.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
wexriyp.ru
wiewkux.ru
wyliwow.ru
xakruaq.ru
xekisuw.ru
xequjej.ru
xuzuppu.ru
xybired.ru
ygdykin.ru
ykrijyj.ru
ypemval.ru
ypyxwon.ru
yqdazyb.ru
yvnahty.ru
zaacvas.ru
zeryqiq.ru
zihemmi.ru
zuzilum.ru

ns[1-6]snapoli.com
affuxok.ru
ajgufog.ru
bogquse.ru
deivwyx.ru
duebgud.ru
exmotof.ru
ezirhaz.ru
giczeca.ru
houktuh.ru
ihfajoc.ru
jazzute.ru
kabezer.ru
kipokfy.ru
nilwoim.ru
ojuxxub.ru
okrolyk.ru
onsenyq.ru
qiohxuv.ru
qoqwoas.ru
raleqle.ru
ripexru.ru
salyqiz.ru
sidinox.ru
suvmune.ru
tobjuow.ru
tyhrypo.ru
veoxzul.ru
vysatyv.ru
wegipij.ru
xuzuppu.ru
ypemval.ru
yqdazyb.ru
yvnahty.ru
zuhycyc.ru
snapoli.com

ns[1-6].firstara.com
alnykwu.in
anhozur.in
avutguz.in
azgesaj.in
bagexev.in
bemdymu.in
beruhor.in
bydxufu.in
cutrouc.in
docxymo.in
dyemheb.in
dysjeag.in
edsahug.in
egziwof.in
ejredeg.in
eptulyk.in
esqific.in
ewnupaj.in
fybildo.in
geigbeq.in
goivgek.in
gorocez.in
havowyx.in
haywsab.in
hexdoik.in
hezypez.in
hirurgy.in
honedju.in
hotfool.in
huisfeq.in
huvygmy.in
icotkik.in
iczipyk.in
iddeste.in
igtevax.in
iksutel.in
infobyt.in
itkyguh.in
ivhapuf.in
jepokfa.in
jiifxoz.in
jiquvel.in
juzuxcy.in
kaduqec.in
kiabrok.in
kufirqe.in
kyrocok.in
legycxa.in
leqozdy.in
lexucyl.in
moropdy.in
mutywro.in
myzxozy.in
negmeuw.in
nytutiv.in
ofusqar.in
oqufnyg.in
oxetpah.in
pamywuz.in
pedezby.in
pisyhyn.in
pydilaw.in
qabojir.in
qifufuk.in
raehxez.in
riwgagi.in
rufabex.in
seazdel.in
seompis.in
sinuheh.in
talutyw.in
tarraso.in
tivenyr.in
ucfensa.in
ufbofky.in
ufhewuk.in
ujjukag.in
uqtopik.in
urxiwat.in
uwhepij.in
veqyhli.in
vezkoty.in
vugozan.in
vuqfuek.in
wasidxo.in
wynzobo.in
wyvloiq.in
xategon.in
xevezby.in
xutepyj.in
xuwigir.in
yxfibet.in
yzrefyf.in
zaxseyz.in
zilziom.in
zohdoud.in
zunipaw.in
zynacha.in
firstara.com

roblect.com
akzruyh.ce.ms
apeefoacx.ce.ms
ezoglolbj.ce.ms
gcbjbamdj.ce.ms
geljoxlkd.ce.ms
himukcnen.ce.ms
hyyviccku.ce.ms
imoqjzsej.ce.ms
ljltpaffv.ce.ms
lrjvgjwmg.ce.ms
lvfksyqmz.ce.ms
mhfrhelfr.ce.ms
mkiplkooq.ce.ms
nlozaydyk.ce.ms
ouxwexphh.ce.ms
rxhndcxxi.ce.ms
shuxkzjvp.ce.ms
dlmdlemqjw.ce.ms
roblect.com

galloma.com
ajyxxun.ce.ms
avtjicn.ce.ms
bbzulty.ce.ms
bhueizz.ce.ms
bmxnbbz.ce.ms
bzzqkjk.ce.ms
cluuocw.ce.ms
cqkjibj.ce.ms
dixrkno.ce.ms
dkwhwqc.ce.ms
eymosvc.ce.ms
ezwrvsq.ce.ms
fautuzh.ce.ms
fbxmkgs.ce.ms
gnrmdds.ce.ms
hvhlazq.ce.ms
iygxhfq.ce.ms
jddpvzw.ce.ms
jejmqny.ce.ms
jlruxuf.ce.ms
jqqvqnv.ce.ms
jvhqpyj.ce.ms
ldntbtg.ce.ms
lkddqig.ce.ms
miulvnp.ce.ms
neitfvf.ce.ms
norwdyd.ce.ms
obsnkwx.ce.ms
oqylgfb.ce.ms
pyxthzm.ce.ms
qbdptev.ce.ms
rkzdnlm.ce.ms
rrfrahh.ce.ms
saogsek.ce.ms
sqwdoei.ce.ms
tazaopm.ce.ms
tyldrgy.ce.ms
ujbtapn.ce.ms
uvqyfnd.ce.ms
vwtnddd.ce.ms
wfbanyv.ce.ms
wukiuxb.ce.ms
wxatkfz.ce.ms
xalagnq.ce.ms
yvfeyyn.ce.ms
zhmeqqs.ce.ms
aadsfqle.ce.ms
aahoqmie.ce.ms
adokxrbx.ce.ms
adpiisyi.ce.ms
azyvxiqw.ce.ms
bwwrudue.ce.ms
ccybfonk.ce.ms
dlylxoca.ce.ms
dplvoghe.ce.ms
egezeqki.ce.ms
fjjlnqdt.ce.ms
flgsajeb.ce.ms
fonpxxvd.ce.ms
gwlgkror.ce.ms
gwtowtjz.ce.ms
hezfpxvr.ce.ms
iesathjc.ce.ms
iigijrqo.ce.ms
ijcyicbj.ce.ms
iupyrwes.ce.ms
kzomxpkx.ce.ms
ltaqntzd.ce.ms
ltjohroy.ce.ms
mhivnltw.ce.ms
nanxawdp.ce.ms
nhdoyayw.ce.ms
nktxmecg.ce.ms
nucmqeml.ce.ms
ogmoupcf.ce.ms
pdmhojaf.ce.ms
phlmdkkg.ce.ms
ptufrgou.ce.ms
pwhwhatr.ce.ms
qgewkpxr.ce.ms
raqdiqwr.ce.ms
reoawbqz.ce.ms
sigafisv.ce.ms
spdyccmi.ce.ms
srqdtssc.ce.ms
tfxjtthw.ce.ms
tlzfdnjv.ce.ms
twszglot.ce.ms
ulpgjmhh.ce.ms
vcrlyfcm.ce.ms
viamftgu.ce.ms
vinlgixi.ce.ms
vlyhbwqp.ce.ms
vvmqwzjd.ce.ms
wanolzyh.ce.ms
wcvlwcqz.ce.ms
wocsgoku.ce.ms
wrtetrxh.ce.ms
xacnagya.ce.ms
xbpfgoob.ce.ms
xyzrriwp.ce.ms
yclrslbn.ce.ms
yfonzetf.ce.ms
zdzmkdll.ce.ms
znfxgwwr.ce.ms
aanhryihh.ce.ms
amwthlqru.ce.ms
axikehkes.ce.ms
axrgpgnay.ce.ms
bqtvpxibn.ce.ms
bsaqfqzof.ce.ms
bugtjtgwx.ce.ms
cmuvcunas.ce.ms
cqszgtvxd.ce.ms
cwpdeuvmo.ce.ms
desajkhtt.ce.ms
dgxdydvqu.ce.ms
dhmykycap.ce.ms
djgkxulbq.ce.ms
dldbiwlib.ce.ms
dmmwbnmba.ce.ms
ebeecytff.ce.ms
eehxpgnfa.ce.ms
elvliioxz.ce.ms
ewqvmeirc.ce.ms
festcfwmb.ce.ms
fnmqkvqhc.ce.ms
fnwqxoaqd.ce.ms
gjfqabqzs.ce.ms
gkqssznth.ce.ms
glfvlbsqy.ce.ms
godlblffu.ce.ms
gxvkuefqy.ce.ms
gzwynxrdz.ce.ms
hagduqcbi.ce.ms
hbddtiimz.ce.ms
hjutzoytz.ce.ms
hpuurfkft.ce.ms
hrrdabsgc.ce.ms
hvcsfnnbl.ce.ms
hxnvbogua.ce.ms
ibhmbiujp.ce.ms
ibnrnrsca.ce.ms
ihtxwgrri.ce.ms
ikbpsegqa.ce.ms
imozsewyo.ce.ms
inyqjraby.ce.ms
iqwkvaleh.ce.ms
iqxflmwpo.ce.ms
ivejampkn.ce.ms
jhzzwrnnv.ce.ms
jkmxhwjzd.ce.ms
jmjnguloo.ce.ms
jovrpwfks.ce.ms
jrctenbni.ce.ms
khnzohexi.ce.ms
klkzahmar.ce.ms
kogqvmbyl.ce.ms
ldgtxgznq.ce.ms
ldzjcvqai.ce.ms
liowklchs.ce.ms
lqvncgwsu.ce.ms
mffhjjuyo.ce.ms
mhiyegpwm.ce.ms
mpnfrtxkb.ce.ms
mxzhmcyus.ce.ms
nbgatlklr.ce.ms
ncqpfwapp.ce.ms
nrsxuxxjk.ce.ms
nzaqohego.ce.ms
ofzdzqhgs.ce.ms
oknstngdx.ce.ms
ooiebkatd.ce.ms
oowkipkpf.ce.ms
ortshbpzv.ce.ms
oueaegkkt.ce.ms
owhhnjtvt.ce.ms
pbxyhsjcl.ce.ms
phttlfxnv.ce.ms
pnsohrgpm.ce.ms
pqqhqklih.ce.ms
qngclqeln.ce.ms
qxztybniy.ce.ms
rdmhzrzab.ce.ms
rllwnboym.ce.ms
rvbkzpsls.ce.ms
rypwddplv.ce.ms
rytfgngkw.ce.ms
sbealjyie.ce.ms
sbryweuao.ce.ms
sdgokmpmp.ce.ms
sfkgvnqll.ce.ms
shhgcqijh.ce.ms
shkrbmwiq.ce.ms
sikoastac.ce.ms
soabvshxw.ce.ms
srcfkmvtz.ce.ms
sstmzbmvc.ce.ms
szdigkjog.ce.ms
thchbcfsr.ce.ms
thxvwlnst.ce.ms
udprbpncg.ce.ms
uiniyiwze.ce.ms
upsbjrgpy.ce.ms
upthfdgon.ce.ms
uuybeevvw.ce.ms
vexojepsn.ce.ms
vojehftlt.ce.ms
vwhbcowxu.ce.ms
vwvabbujm.ce.ms
wodutsrzu.ce.ms
wyfhzlmkw.ce.ms
wzyxueqhy.ce.ms
xbaxsnihc.ce.ms
ygmehzjlg.ce.ms
yorzhrizg.ce.ms
ypflxjlzo.ce.ms
zlkaimpeq.ce.ms
ztngnmmib.ce.ms
zxtvqkftz.ce.ms
aknmlvkeho.ce.ms
apiuxcoauy.ce.ms
buygunnsnw.ce.ms
cblfdefxmf.ce.ms
cmbwsssnlo.ce.ms
cwoomqxtjo.ce.ms
dohnebpdrp.ce.ms
dyioatrhnx.ce.ms
eqqtdwbnwg.ce.ms
eyeamccxvb.ce.ms
hlmewfctuc.ce.ms
iqqspkqdji.ce.ms
jjyzwvufmb.ce.ms
jsgecgfnrw.ce.ms
kvmchjinmu.ce.ms
lglqkkqybq.ce.ms
lqsyddcoot.ce.ms
lvscrnzqzm.ce.ms
mgxstzpxfv.ce.ms
nflmyecafv.ce.ms
nmwhryeybz.ce.ms
noilnvnsie.ce.ms
nuyzxhxyqn.ce.ms
oixtvfudyd.ce.ms
pnfyoidgkn.ce.ms
pnsntpjnhw.ce.ms
pvfnpwoyjq.ce.ms
pxafmmglnp.ce.ms
qdmxpqpkbk.ce.ms
razocjpywj.ce.ms
rcmtvlzbuk.ce.ms
rljgnvkghq.ce.ms
rlybfffajb.ce.ms
rybrueryce.ce.ms
sokhxokonz.ce.ms
spuiygpbcr.ce.ms
sweaxoedyw.ce.ms
sygsgahycs.ce.ms
tepbzktaqg.ce.ms
uupkufucmx.ce.ms
vcoewypubi.ce.ms
xerrwvuuzb.ce.ms
xhmqllyufj.ce.ms

xmfydbnjgq.ce.ms
ydokioxqpc.ce.ms
yefwipbiih.ce.ms
ysjeguxpmt.ce.ms

These are lists of IPs that ns1.boomsco.com (created 2013-01-13) and ns1.larstor.com (created 2012-12-22) were pointing to since their creation.  The lists show how fast the ips change – more than 9,000 times over 30-45 days. There are many infected hosts but it does not mean that every host in the list was infected. Some IPs only were used for a second, which also demonstrates the evasive nature of the fast flux.
http://files.deependresearch.org/logs/boomsco_asn.txt
http://files.deependresearch.org/logs/larstor_asn.txt

Malware functionality and system changes.
Based on 0C921935F0880B5C2161B3905F8A3069 – active fresh sample, first seen by Virus 2013-02-06, PE date stamp 2011-30-10.

We also analyzed fresh samples with 2013 PE date stamps and observed same / similar functionality (some lack some features like Firefox or FTP password stealing or while others have the full set).  Compared to Dec. 2012 post by abuse.ch, the overall functionality did not change much. 


Functionality:

  • Installs winpcap and monitors traffic
  • Keylogging capabilities 
    see SetWindowsHookExW – in KERNEL32.dll imports

C:Documents and SettingsApplication DataBitcoinwallet.dat

  • Parses Firefox’s Password Manager Local Database in order to steal stored passwords: Firefox stores password data in two files: key3.db (Master Password / Encryption key) and a ‘signons’ file (encrypted names and passwords). Reads:

–%USERPROFILE%Application DataMozillaFirefoxProfiles[xxxxxx].defaultsignons.sqlite

–%USERPROFILE%Application DataMozillaFirefoxProfiles[xxxxxx].defaultsignons.sqlite

–%USERPROFILE%Application DataMozillaFirefoxProfiles[xxxxxx].defaultkey3.db

–%USERPROFILE%[username]Application DataMozillaFirefoxProfiles[xxxxxx].defaultkey3.db

See SQL related imports in ODBCJT32.dll

SQLGetCursorNameW
SQLFreeStmt
SQLGetConnectAttrW
ConfigDialogProc
SQLSetCursorNameW
SQLSetStmtAttrW
SQLFreeConnect
SQLCloseCursor
DefTxtFmtDlgProc
SQLSetConnectAttrW
SQLColumnsW
SQLDisconnect
SQLDriverConnectW
SQLTablesW
SQLGetDiagFieldW
SQLBulkOperations
SQLSetPos
SQLFreeHandle
SQLSetDescFieldW
SQLNumResultCols
SQLConnectW
SQLExecute
SQLProcedureColumnsW
SQLFetch
 

  • Sends spam

iMimeMessageTree api calls: iMimeMessageTree parses and creates Internet messages. IMimeMessageTree treats a message as a tree of bodies where each body has a header and associated content. It gives a client the most flexible, low-level access to a message. Read more MimeMessageTree Interface http://msdn.microsoft.com/en-us/library/ms711715(v=vs.85).aspx

imports from INETCOMM.dll

MimeOleSMimeCapAddCert
MimeEditIsSafeToRun
MimeOleUnEscapeStringInPlace
EssSignCertificateDecodeEx
etc.

User Agents used (hardcoded in binaries), you can see in memory dumps or after unpacking

  1. Mozilla/5.0 (Windows; U; Windows NT 6.1; ja; rv:1.9.2a1pre) Gecko/20090403 Firefox/3.6a1pre
  2. Mozilla/5.0 (X11; U; Linux x86_64; cy; rv:1.9.1b3) Gecko/20090327 Fedora/3.1-0.11.beta3.fc11 Firefox/3.1b3
  3. Mozilla/5.0 (Windows; U; Windows NT 5.1; es-AR; rv:1.9.0.11) Gecko/2009060215 Firefox/3.0.11
  4. Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_6 ; nl; rv:1.9) Gecko/2008051206 Firefox/3.0
  5. Mozilla/5.0 (Windows; U; Windows NT 6.1; es-AR; rv:1.9) Gecko/2008051206 Firefox/3.0
  6. Mozilla/5.0 (Windows; U; Windows NT 5.1; pt-BR; rv:1.8.1.15) Gecko/20080623 Firefox/2.0.0.15
  7. Mozilla/5.0 (Windows; U; Windows NT 6.0; zh-HK; rv:1.8.1.7) Gecko Firefox/2.0
  8. Mozilla/5.0 (Windows; U; Win95; it; rv:1.8.1) Gecko/20061010 Firefox/2.0
  9. Mozilla/5.0 (Windows; U; Windows NT 5.0; en-US; rv:1.8.0.7) Gecko/20060909 Firefox/1.5.0.7
  10. Mozilla/5.0 (ZX-81; U; CP/M86; en-US; rv:1.8.0.1) Gecko/20060111 Firefox/1.5.0.1
  11. Mozilla/5.0 (X11; U; NetBSD alpha; en-US; rv:1.8) Gecko/20060107 Firefox/1.5
  12. Mozilla/5.0 (Windows; U; Windows NT 5.2; en-US; rv:1.8b5) Gecko/20051006 Firefox/1.4.1
  13. Mozilla/5.0 (X11; I; SunOS sun4u; en-GB; rv:1.7.8) Gecko/20050713 Firefox/1.0.4
  14. Mozilla/5.0 (X11; U; Linux i686; de-AT; rv:1.7.5) Gecko/20041222 Firefox/1.0 (Debian package 1.0-4)
  15. Mozilla/5.0 (Windows; U; Win 9x 4.90; rv:1.7) Gecko/20041103 Firefox/0.9.3
  16. Mozilla/5.0 (Macintosh; U; PPC Mac OS X Mach-O; fr; rv:1.7) Gecko/20040624 Firefox/0.9
  17. Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; FDM; .NET CLR 2.0.50727; InfoPath.2; .NET CLR 1.1.4322)
  18. Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET CLR 1.1.4322; Tablet PC 2.0; OfficeLiveConnector.1.3; OfficeLivePatch.1.3; MS-RTC LM 8; InfoPath.3)
  19. Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 3.0.04506; .NET CLR 1.1.4322; InfoPath.2; .NET CLR 3.5.21022)
  20. Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.2; .NET CLR 1.1.4322)
  21. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; Win64; x64; SV1)
  22. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30)
  23. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)
  24. Mozilla/4.0 (compatible; MSIE 5.5; Windows 95)
  25. Mozilla/4.0 (compatible; MSIE 4.01; Windows NT 5.0)
  26. Mozilla/2.0 (compatible; MSIE 3.0; Windows 3.1)
  27. Mozilla/1.22 (compatible; MSIE 1.5; Windows NT)
  28. Microsoft Internet Explorer/1.0 (Windows 95)
System Changes
  • Sets to load when Windows is started

MACHINESOFTWAREMICROSOFTWINDOWSCURRENTVERSIONRUN

    Changes Internet Explorer’s default home page

HKUS-1-5-21-1715567821-1275210071-839522115-1004SoftwareMicrosoftWindowsCurrentVersionExplorerAdvancedUserPlayedActive: “DIhnDzXVnPDA+DO4Z72Q5BeL4OTOAPYBa9ef262UWrJ7soV07MpOXsWicda8N
BA0tg=
=”

  • Makes Windows firewall changes:

HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileGloballyOpenPortsList80:TCP: “80:TCP:*:Enabled:Promo”

HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileGloballyOpenPortsList53:UDP: “53:UDP:*:Enabled:Promo”

  • Service created SERVICESNPF (winpcap service) WinPcap Packet Driver (NPF)
  • The original  copied to
    C:WINDOWSTemptemp18.exe
    C:WINDOWSTempkb778817.exe — deleted
    C:WINDOWSTemptmp.exe — deleted

Virustotal results of 0c921935f0880b5c2161b3905f8a3069

SHA256: 55885d1928d39600ce3d99617072bf3632db94352fed8032bc3dce3afe665740
SHA1: 05ca64ccfa582e7787d0238f82336a079aba8419
MD5: 0c921935f0880b5c2161b3905f8a3069
File size: 62.5 KB ( 64036 bytes )
File type: Win32 EXE
Tags: peexe
Detection ratio: 23 / 46
Analysis date: 2013-02-06 20:08:42 UTC ( 4 days, 2 hours ago )
Agnitum Trojan.PWS.Tepfer!CPwnyKhdTDg 20130206
AhnLab-V3 Downloader/Win32.Agent 20130206
AntiVir TR/Crypt.XPACK.Gen2 20130206
Avast Win32:Dropper-gen [Drp] 20130206
AVG Win32/Cryptor 20130206
BitDefender Gen:Variant.Kazy.137742 20130206
Comodo TrojWare.Win32.Kryptik.ASEW 20130206
DrWeb Trojan.DownLoader6.380 20130206
ESET-NOD32 a variant of Win32/Kryptik.ASFO 20130206
F-Secure Gen:Variant.Kazy.137742 20130206
Fortinet W32/Kryptik.XUW!tr 20130206
GData Gen:Variant.Kazy.137742 20130206
Ikarus Trojan-PWS.Win32.Tepfer 20130206
Kaspersky Trojan-PSW.Win32.Tepfer.emee 20130206
Kingsoft Win32.Troj.Generic.a.(kcloud) 20130204
McAfee Artemis!0C921935F088 20130206
McAfee-GW-Edition Artemis!0C921935F088 20130206
MicroWorld-eScan Gen:Variant.Kazy.137742 20130206
NANO-Antivirus Trojan.Win32.Kryptik.bevkem 20130206
Norman Kelihos.DA 20130206
Panda Suspicious file 20130206
VBA32 SScope.Trojan.SB.01722 20130206
VIPRE Trojan.Win32.Generic!BT 20130206

Share this post

Share on facebook
Share on linkedin
Share on print
Share on email

Subscribe to our Monthly Cyber Security Digest

Get monthly content to keep you up to date on the latest news and tips