Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Network activity
Connects to
- '10#.#9.89.198':80
- 'xn######z6fwvan2be1g5tb.com':80
- 'lo#####rovements.com':80
- 'ex#####igging.online':80
- 'yo##tec.com':80
- 'me######yaarifmetika.online':80
- 'tu###ing.com':80
- 'go###idev.com':80
- 'so###ant.com':80
- 'in######ewineappraisals.com':80
- 'fa#####ldgroupfw.com':80
- 'mf##e.com':80
- 'sh######icalstaffing.agency':80
- 'te###alpy.com':80
TCP
HTTP GET requests
- http://10#.#9.89.198/datachecking/vbc.exe
- http://www.xn######z6fwvan2be1g5tb.com/ocgr/?iL####################################################################################
- http://www.lo#####rovements.com/ocgr/?iL####################################################################################
- http://www.yo##tec.com/ocgr/?iL####################################################################################
- http://www.me######yaarifmetika.online/ocgr/?iL####################################################################################
- http://www.tu###ing.com/ocgr/?iL####################################################################################
- http://www.go###idev.com/ocgr/?iL####################################################################################
- http://www.so###ant.com/ocgr/?iL####################################################################################
- http://www.in######ewineappraisals.com/ocgr/?iL####################################################################################
- http://www.fa#####ldgroupfw.com/ocgr/?iL####################################################################################
- http://www.mf##e.com/ocgr/?iL####################################################################################
- http://www.sh######icalstaffing.agency/ocgr/?iL####################################################################################
UDP
- DNS ASK xn######z6fwvan2be1g5tb.com
- DNS ASK sh######icalstaffing.agency
- DNS ASK do###color.com
- DNS ASK mf##e.com
- DNS ASK fa#####ldgroupfw.com
- DNS ASK in######ewineappraisals.com
- DNS ASK so###ant.com
- DNS ASK my####onloan.net
- DNS ASK bi####lerviss.com
- DNS ASK tu###ing.com
- DNS ASK me######yaarifmetika.online
- DNS ASK yo##tec.com
- DNS ASK ex#####igging.online
- DNS ASK lo#####rovements.com
- DNS ASK ed###on-bd.com
- DNS ASK go###idev.com
- DNS ASK te###alpy.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe"
