Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Network activity
Connects to
- '17#.#45.163.174':80
- 'ge#######chcomputerscience.com':80
- 'im##x.info':80
- 'ro####oodufz.com':80
- 'ma#####physpeaks.com':80
- 'al######ore-natura.online':80
- 'kl##top.com':80
- 'pe###-china.com':80
- '4e####othing.com':80
- 'va###seco.com':80
- 'ev###era.com':80
- 'tu###ums.com':80
- 'al####ristian.com':80
- 'wi#####srepaid626.com':80
TCP
HTTP GET requests
- http://17#.#45.163.174/monday/zzHNEqn2w8nxgjh.exe
- http://www.ge#######chcomputerscience.com/qg2u/?NB#######################################################################################
- http://www.im##x.info/qg2u/?NB#######################################################################################
- http://www.ro####oodufz.com/qg2u/?NB#######################################################################################
- http://www.ma#####physpeaks.com/qg2u/?NB#######################################################################################
- http://www.al######ore-natura.online/qg2u/?NB#######################################################################################
- http://www.kl##top.com/qg2u/?NB#######################################################################################
- http://www.pe###-china.com/qg2u/?NB#######################################################################################
- http://www.4e####othing.com/qg2u/?NB#######################################################################################
- http://www.va###seco.com/qg2u/?NB#######################################################################################
- http://www.ev###era.com/qg2u/?NB#######################################################################################
- http://www.tu###ums.com/qg2u/?NB#######################################################################################
- http://www.al####ristian.com/qg2u/?NB#####################################################################################################
UDP
- DNS ASK ge#######chcomputerscience.com
- DNS ASK im##x.info
- DNS ASK ro####oodufz.com
- DNS ASK ma#####physpeaks.com
- DNS ASK al######ore-natura.online
- DNS ASK 0a###as.site
- DNS ASK kl##top.com
- DNS ASK pe###-china.com
- DNS ASK 4e####othing.com
- DNS ASK me#####sicalwear.com
- DNS ASK va###seco.com
- DNS ASK ev###era.com
- DNS ASK tu###ums.com
- DNS ASK al####ristian.com
- DNS ASK wi#####srepaid626.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cscript.exe'
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
