Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- fdwfm.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\nshd9bc.tmp
- %TEMP%\07psh9jxx8mb5t
- %TEMP%\dimjwfh
- %TEMP%\fdwfm.exe
Deletes the following files
- %TEMP%\fdwfm.exe
Network activity
Connects to
- '19#.#.152.135':80
- 'th###olfer.com':80
- 'dr#####etnpasumo5.xyz':80
- 'tr###store.com':80
- 'ar###dar.online':80
- 'la###epro.com':80
- 'yo####gitalboss.com':80
- 're###lerk.com':80
- 'el####amanpower.com':80
- 'pa####-rocha.com':80
- 'al####erfurgon.com':80
- 'si####lpanda.com':80
- 'de####arketing.com':80
- 'be#####legecourses.com':80
- 'co####entaldeal.com':80
TCP
HTTP GET requests
- http://19#.#.152.135/paint/Scan_load.exe
- http://www.de####arketing.com/bs8f/?Ob######################################################################################
- http://www.no##a.info/bs8f/?Ob######################################################################################
- http://www.al####erfurgon.com/bs8f/?Ob######################################################################################
- http://www.si####lpanda.com/bs8f/?Ob######################################################################################
- http://www.si####lpanda.com/bs8f/?Ob#######################################################################################
- http://www.al####erfurgon.com/bs8f/?Ob#######################################################################################
- http://www.pa####-rocha.com/bs8f/?Ob#######################################################################################
- http://www.el####amanpower.com/bs8f/?Ob#######################################################################################
- http://www.re###lerk.com/bs8f/?Ob#######################################################################################
- http://www.yo####gitalboss.com/bs8f/?Ob#######################################################################################
- http://www.la###epro.com/bs8f/?Ob#######################################################################################
- http://www.ar###dar.online/bs8f/?Ob#######################################################################################
- http://www.tr###store.com/bs8f/?Ob#######################################################################################
- http://www.dr#####etnpasumo5.xyz/bs8f/?Ob#######################################################################################
- http://www.th###olfer.com/bs8f/?Ob#######################################################################################
- http://www.be#####legecourses.com/bs8f/?Ob######################################################################################
- http://www.co####entaldeal.com/bs8f/?Ob######################################################################################
UDP
- DNS ASK th###olfer.com
- DNS ASK le###e.store
- DNS ASK de####arketing.com
- DNS ASK no##a.info
- DNS ASK si####lpanda.com
- DNS ASK al####erfurgon.com
- DNS ASK ak#######offilamentousfungi.com
- DNS ASK pa####-rocha.com
- DNS ASK el####amanpower.com
- DNS ASK re###lerk.com
- DNS ASK yo####gitalboss.com
- DNS ASK la###epro.com
- DNS ASK gn###o.online
- DNS ASK ar###dar.online
- DNS ASK bu#####meallcash.com
- DNS ASK tr###store.com
- DNS ASK dr#####etnpasumo5.xyz
- DNS ASK he###land.com
- DNS ASK be#####legecourses.com
- DNS ASK co####entaldeal.com
Miscellaneous
Creates and executes the following
- '%TEMP%\fdwfm.exe' %TEMP%\dimjwfh
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\fdwfm.exe"
