Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '45.##8.172.238':80
- 'ch####iftassist.com':80
- '37##81.com':80
- 'hy##g.com':80
- 'fl###nts.com':80
- 'oh###arkets.com':80
- 'yz##ce.com':80
- 'ai###y.today':80
- 'bo###afmg.quest':80
- 'da###eattic.com':80
- 'gz###888.com':80
TCP
HTTP GET requests
- http://45.##8.172.238/200/vbc.exe
- http://www.ch####iftassist.com/gqav/?kh#######################################################################################
- http://www.37##81.com/gqav/?kh#######################################################################################
- http://www.hy##g.com/gqav/?kh#######################################################################################
- http://www.fl###nts.com/gqav/?kh#######################################################################################
- http://www.oh###arkets.com/gqav/?kh#######################################################################################
- http://www.yz##ce.com/gqav/?kh#######################################################################################
- http://www.ai###y.today/gqav/?kh#######################################################################################
- http://www.bo###afmg.quest/gqav/?kh#######################################################################################
- http://www.da###eattic.com/gqav/?kh#######################################################################################
- http://www.gz###888.com/gqav/?kh#######################################################################################
UDP
- DNS ASK ar####ealonline.com
- DNS ASK ch####iftassist.com
- DNS ASK 37##81.com
- DNS ASK hy##g.com
- DNS ASK 9y##fun.com
- DNS ASK 35##61.com
- DNS ASK wp####rorealty.com
- DNS ASK fl###nts.com
- DNS ASK oh###arkets.com
- DNS ASK yz##ce.com
- DNS ASK ai###y.today
- DNS ASK su###ict.com
- DNS ASK bo###afmg.quest
- DNS ASK da###eattic.com
- DNS ASK gz###888.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\netstat.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
