Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '19#.#3.212.143':80
- 'om#####curso-online.com':80
- 'th######ixcollection.com':80
- 'an#####oonsexshop.com':80
- 'yo###oor.pro':80
- 'ke#####orcollective.com':80
- 'go##mig.com':80
TCP
HTTP GET requests
- http://19#.#3.212.143/hkcmd/vbc.exe
- http://www.om#####curso-online.com/nthe/?db##################################################################################
- http://www.th######ixcollection.com/nthe/?db##################################################################################
- http://www.an#####oonsexshop.com/nthe/?db##################################################################################
- http://www.ha######ojitovillage.net/nthe/?db##################################################################################
- http://www.yo###oor.pro/nthe/?db##################################################################################
- http://www.te######erregistration.com/nthe/?db##################################################################################
- http://www.re####yleworks.com/nthe/?db##################################################################################
- http://www.ke#####orcollective.com/nthe/?db##################################################################################
UDP
- DNS ASK om#####curso-online.com
- DNS ASK th######ixcollection.com
- DNS ASK an#####oonsexshop.com
- DNS ASK ha######ojitovillage.net
- DNS ASK yo###oor.pro
- DNS ASK te######erregistration.com
- DNS ASK re####yleworks.com
- DNS ASK ke#####orcollective.com
- DNS ASK go##mig.com
- DNS ASK ur###vpimp.com
- DNS ASK to###mytag.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\msdt.exe'
- '<SYSTEM32>\cmd.exe' del "C:\Users\Public\vbc.exe"
