Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- rwuqghcobk.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\syswow64\autochk.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\nss5995.tmp
- %TEMP%\g45wniea1c9j45
- %TEMP%\ljykkeryf
- %TEMP%\rwuqghcobk.exe
Deletes the following files
- %TEMP%\rwuqghcobk.exe
Network activity
Connects to
- '10#.#68.33.31':80
- 'pe#####prevent.online':80
- 'co####tingqld.com':80
- 'ha###anero.com':80
- 'ra###rops.blue':80
- 'fi####orernyc.com':80
- 'po#####bythelab.online':80
- 'sh#####lutionltd.com':80
- 'aq######vaciatrans.online':80
- 'gr##pp.com':80
- 'on#####licnudity.com':80
- 'ri##bi.com':80
- 'sc#####cceptancefee.com':80
- 'sc######acherindemnity.com':80
- 'ro###cast.xyz':80
TCP
HTTP GET requests
- http://10#.#68.33.31/pr/builder1.exe
- http://www.pe#####prevent.online/qm8c/?_n###############################################################################################
- http://www.co####tingqld.com/qm8c/?_n###############################################################################################
- http://www.ha###anero.com/qm8c/?_n###############################################################################################
- http://www.ra###rops.blue/qm8c/?_n###############################################################################################
- http://www.fi####orernyc.com/qm8c/?_n###############################################################################################
- http://www.po#####bythelab.online/qm8c/?_n###############################################################################################
- http://www.sh#####lutionltd.com/qm8c/?_n###############################################################################################
- http://www.aq######vaciatrans.online/qm8c/?_n###############################################################################################
- http://www.gr##pp.com/qm8c/?_n###############################################################################################
- http://www.on#####licnudity.com/qm8c/?_n###############################################################################################
- http://www.ri##bi.com/qm8c/?_n###############################################################################################
- http://www.sc#####cceptancefee.com/qm8c/?_n###############################################################################################
- http://www.sc######acherindemnity.com/qm8c/?_n###############################################################################################
- http://www.ro###cast.xyz/qm8c/?_n###############################################################################################
UDP
- DNS ASK pe#####prevent.online
- DNS ASK aq#####s-aviation.com
- DNS ASK sc#####cceptancefee.com
- DNS ASK ri##bi.com
- DNS ASK al####dvisors.xyz
- DNS ASK 93##3.xyz
- DNS ASK on#####licnudity.com
- DNS ASK to#####rsfaction.com
- DNS ASK sc######acherindemnity.com
- DNS ASK gr##pp.com
- DNS ASK sh#####lutionltd.com
- DNS ASK po#####bythelab.online
- DNS ASK fi####orernyc.com
- DNS ASK ra###rops.blue
- DNS ASK mi###osha.com
- DNS ASK ha###anero.com
- DNS ASK co####tingqld.com
- DNS ASK aq######vaciatrans.online
- DNS ASK ro###cast.xyz
Miscellaneous
Creates and executes the following
- '%TEMP%\rwuqghcobk.exe' %TEMP%\ljykkeryf
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\mstsc.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\rwuqghcobk.exe"
