Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '23.##.122.90':80
- 'ny#####oupevoque.net':80
- 'iv####iniature.com':80
- 'ka####atadom.com':80
- 'fl####ssminkss.com':80
- 'bi###shk.com':80
- 'da###anfu.com':80
- 'fu##bee.com':80
- 'ca###01.online':80
- 'ma###ards.com':80
- 'lt###yswp.icu':80
- 'pu####alpayroll.com':80
TCP
HTTP GET requests
- http://23.##.122.90/serv/vbc.exe
- http://www.ny#####oupevoque.net/cttb/?OP#############################################################################################
- http://www.iv####iniature.com/cttb/?OP#############################################################################################
- http://www.xn######eindnyam-klb.com/cttb/?OP#############################################################################################
- http://www.ka####atadom.com/cttb/?OP#############################################################################################
- http://www.fl####ssminkss.com/cttb/?OP#############################################################################################
- http://www.bi###shk.com/cttb/?OP#############################################################################################
- http://www.el####elapacion.com/cttb/?OP#############################################################################################
- http://www.da###anfu.com/cttb/?OP#############################################################################################
- http://www.fu##bee.com/cttb/?OP#############################################################################################
- http://www.ca###01.online/cttb/?OP#############################################################################################
- http://www.ma###ards.com/cttb/?OP#############################################################################################
- http://www.lt###yswp.icu/cttb/?OP#############################################################################################
- http://www.pu####alpayroll.com/cttb/?OP#############################################################################################
- http://www.th##err.com/cttb/?OP#############################################################################################
UDP
- DNS ASK ny#####oupevoque.net
- DNS ASK iv####iniature.com
- DNS ASK xn######eindnyam-klb.com
- DNS ASK ka####atadom.com
- DNS ASK fl####ssminkss.com
- DNS ASK bi###shk.com
- DNS ASK el####elapacion.com
- DNS ASK ro####pregister.com
- DNS ASK da###anfu.com
- DNS ASK fu##bee.com
- DNS ASK ca###01.online
- DNS ASK ma###ards.com
- DNS ASK lt###yswp.icu
- DNS ASK pu####alpayroll.com
- DNS ASK th##err.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\msdt.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
