Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
TCP
HTTP GET requests
- http://19#.#3.212.188/reg/vbc.exe
- http://www.th#####nity-project.com/o56q/?nN############################################################################################
- http://www.xn####e-3la7e.com/o56q/?nN############################################################################################
- http://www.te###nkz.com/o56q/?nN############################################################################################
- http://www.us####hernhome.com/o56q/?nN############################################################################################
- http://www.ka###bet.com/o56q/?nN############################################################################################
- http://www.th####-board.com/o56q/?nN############################################################################################
- http://www.ca######iapropiedades.com/o56q/?nN############################################################################################
- http://www.ke###kora.com/o56q/?nN############################################################################################
- http://www.fu##aza.net/o56q/?nN############################################################################################
- http://www.tn####lson.design/o56q/?nN############################################################################################
- http://www.cr###on.school/o56q/?nN############################################################################################
- http://www.de###oommn.com/o56q/?nN############################################################################################
- http://www.po###ilm3d.com/o56q/?nN############################################################################################
- http://www.au#####rantyworld.net/o56q/?nN############################################################################################
UDP
- DNS ASK ha###bin.com
- DNS ASK th#####nity-project.com
- DNS ASK xn####e-3la7e.com
- DNS ASK ro####azgreenca.com
- DNS ASK te###nkz.com
- DNS ASK us####hernhome.com
- DNS ASK ka###bet.com
- DNS ASK th####-board.com
- DNS ASK ca######iapropiedades.com
- DNS ASK ke###kora.com
- DNS ASK fu##aza.net
- DNS ASK tn####lson.design
- DNS ASK cr###on.school
- DNS ASK de###oommn.com
- DNS ASK po###ilm3d.com
- DNS ASK au#####rantyworld.net
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\timeout.exe' 4' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\timeout.exe' 4
- '%WINDIR%\syswow64\chkdsk.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
