Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '19#.#3.212.143':80
- 'sp##net.com':80
- 'pl####cplank.com':80
- 'om#####curso-online.com':80
- 'co#####lcreativeco.com':80
- 'gi###ugi.com':80
- 'as###awa.com':80
- 'de##e.net':80
- 'wo###rd.mobi':80
- 'vi###x.world':80
TCP
HTTP GET requests
- http://19#.#3.212.143/ibm/vbc.exe
- http://www.sp##net.com/nthe/?On#####################################################################################
- http://www.pl####cplank.com/nthe/?On#####################################################################################
- http://www.om#####curso-online.com/nthe/?On#####################################################################################
- http://www.co#####lcreativeco.com/nthe/?On#####################################################################################
- http://www.am####clothing.com/nthe/?On#####################################################################################
- http://www.gi###ugi.com/nthe/?On#####################################################################################
- http://www.as###awa.com/nthe/?On#####################################################################################
- http://www.ha######ojitovillage.net/nthe/?On#####################################################################################
- http://www.de##e.net/nthe/?On#####################################################################################
- http://www.wo###rd.mobi/nthe/?On#####################################################################################
- http://www.vi###x.world/nthe/?On#####################################################################################
UDP
- DNS ASK sp##net.com
- DNS ASK jr###xsh.com
- DNS ASK pl####cplank.com
- DNS ASK om#####curso-online.com
- DNS ASK ma######dcastdelivery.club
- DNS ASK co#####lcreativeco.com
- DNS ASK am####clothing.com
- DNS ASK gi###ugi.com
- DNS ASK my###uarita.com
- DNS ASK as###awa.com
- DNS ASK ha######ojitovillage.net
- DNS ASK de##e.net
- DNS ASK wo###rd.mobi
- DNS ASK vi###x.world
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\wlanext.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
