Technical Information
To ensure autorun and distribution
Creates or modifies the following files
- <SYSTEM32>\tasks\updates\qupvqitftbfhdl
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %APPDATA%\qupvqitftbfhdl.exe
- %TEMP%\tmpa276.tmp
Sets the 'hidden' attribute to the following files
- %APPDATA%\qupvqitftbfhdl.exe
Deletes the following files
- %TEMP%\tmpa276.tmp
- C:\users\public\vbc.exe
Network activity
Connects to
- '21#.#93.30.214':80
- 'xg###star.com':80
- 'lo####uktoyof6.xyz':80
- 'ac####services.net':80
- 'st######choolbagidora.com':80
- 'un##ro.com':80
- 'xb##973.com':80
- 'li#####oappetite.com':80
- 'bo####market.com':80
- 'va###mfibra.com':80
- 'ww#####arkfinancial.com':80
TCP
HTTP GET requests
- http://21#.#93.30.214/500/vbc.exe
- http://www.xg###star.com/r87g/?UB####################################################################################
- http://www.lo####uktoyof6.xyz/r87g/?UB####################################################################################
- http://www.ac####services.net/r87g/?UB####################################################################################
- http://www.st######choolbagidora.com/r87g/?UB####################################################################################
- http://www.un##ro.com/r87g/?UB####################################################################################
- http://www.xb##973.com/r87g/?UB####################################################################################
- http://www.li#####oappetite.com/r87g/?UB####################################################################################
- http://www.sa####ycash.loan/r87g/?UB####################################################################################
- http://www.bo####market.com/r87g/?UB####################################################################################
- http://www.va###mfibra.com/r87g/?UB####################################################################################
- http://www.ww#####arkfinancial.com/r87g/?UB######################################################################################
UDP
- DNS ASK xg###star.com
- DNS ASK 06####erbetin.com
- DNS ASK lo####uktoyof6.xyz
- DNS ASK ac####services.net
- DNS ASK mi#####hrenewals.com
- DNS ASK st######choolbagidora.com
- DNS ASK pr#####cleanteam.com
- DNS ASK da######wboysticket.online
- DNS ASK un##ro.com
- DNS ASK xb##973.com
- DNS ASK li#####oappetite.com
- DNS ASK se####pplpay.com
- DNS ASK sa####ycash.loan
- DNS ASK bo####market.com
- DNS ASK va###mfibra.com
- DNS ASK ww#####arkfinancial.com
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\QuPVQiTftBFHdL.exe"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\QuPVQiTftBFHdL.exe"' (with hidden window)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\QuPVQiTftBFHdL" /XML "%TEMP%\tmpA276.tmp"' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\QuPVQiTftBFHdL" /XML "%TEMP%\tmpA276.tmp"
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
