Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- %WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe
Network activity
Connects to
- '18#.#14.238.224':80
- 'de#####anninglids.com':80
- 'me######yaarifmetika.online':80
- 'db####nveoyu.cloud':80
- 'fl#####caterpillar.com':80
- 'cl##e.email':80
- 'se####forefind.com':80
- 'dh##cy.com':80
- 'an####rdegen.com':80
- 'dr####clinic.com':80
- 'so#####alluredmcc.com':80
- 'te#####onescharlie.com':80
- 'fj##dz.com':80
- 'hu##o.com':80
TCP
HTTP GET requests
- http://18#.#14.238.224/spacedisk/vbc.exe
- http://www.de#####anninglids.com/ocgr/?nN########################################################################################
- http://www.me######yaarifmetika.online/ocgr/?nN########################################################################################
- http://www.db####nveoyu.cloud/ocgr/?nN########################################################################################
- http://www.fl#####caterpillar.com/ocgr/?nN########################################################################################
- http://www.cl##e.email/ocgr/?nN########################################################################################
- http://www.se####forefind.com/ocgr/?nN########################################################################################
- http://www.dh##cy.com/ocgr/?nN########################################################################################
- http://www.an####rdegen.com/ocgr/?nN########################################################################################
- http://www.dr####clinic.com/ocgr/?nN########################################################################################
- http://www.so#####alluredmcc.com/ocgr/?nN########################################################################################
- http://www.te#####onescharlie.com/ocgr/?nN########################################################################################
- http://www.fj##dz.com/ocgr/?nN########################################################################################
- http://www.hu##o.com/ocgr/?nN########################################################################################
UDP
- DNS ASK de#####anninglids.com
- DNS ASK me######yaarifmetika.online
- DNS ASK db####nveoyu.cloud
- DNS ASK fl#####caterpillar.com
- DNS ASK ki###emto.net
- DNS ASK cl##e.email
- DNS ASK mu###bangla.xyz
- DNS ASK se####forefind.com
- DNS ASK dh##cy.com
- DNS ASK an####rdegen.com
- DNS ASK dr####clinic.com
- DNS ASK so#####alluredmcc.com
- DNS ASK te#####onescharlie.com
- DNS ASK fj##dz.com
- DNS ASK hu##o.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe'
- '%WINDIR%\syswow64\ipconfig.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe"
