Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '19#.#2.127.217':80
- 'me####ydatas.com':80
- 'pt###ennis.com':80
- 'aw####edguild.com':80
- 'jj##scl.com':80
- 'st######oundsandevents.com':80
- 'wa###llia.com':80
- '20###apas.com':80
- 'ru###mrik.com':80
- 'ju#######rlssliponslippers.com':80
TCP
HTTP GET requests
- http://19#.#2.127.217/glob/vbc.exe
- http://www.me####ydatas.com/24ng/?ZH##########################################################################################
- http://www.pt###ennis.com/24ng/?ZH##########################################################################################
- http://www.aw####edguild.com/24ng/?ZH##########################################################################################
- http://www.al####torjonesy.com/24ng/?ZH##########################################################################################
- http://www.jj##scl.com/24ng/?ZH##########################################################################################
- http://www.st######oundsandevents.com/24ng/?ZH##########################################################################################
- http://www.wa###llia.com/24ng/?ZH##########################################################################################
- http://www.20###apas.com/24ng/?ZH##########################################################################################
- http://www.ru###mrik.com/24ng/?ZH##########################################################################################
- http://www.ju#######rlssliponslippers.com/24ng/?ZH##########################################################################################
- http://www.ev###trend.com/24ng/?ZH##########################################################################################
UDP
- DNS ASK me####ydatas.com
- DNS ASK pt###ennis.com
- DNS ASK aw####edguild.com
- DNS ASK as###ytdg.com
- DNS ASK de###course.com
- DNS ASK al####torjonesy.com
- DNS ASK jv###oud.com
- DNS ASK jj##scl.com
- DNS ASK st######oundsandevents.com
- DNS ASK jo####ga.support
- DNS ASK wa###llia.com
- DNS ASK 20###apas.com
- DNS ASK ru###mrik.com
- DNS ASK ju#######rlssliponslippers.com
- DNS ASK ev###trend.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\help.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
