Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Izjxose' = 'C:\Users\Public\Libraries\esoxjzI.url'
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- C:\users\public\libraries\izjxose\izjxose.exe
- C:\users\public\libraries\esoxjzi.url
Network activity
Connects to
- 'cm#.lol':80
- '23.##.159.208':80
- 'on####ve.live.com':443
- 'ip####.#m.files.1drv.com':443
- 'd1###resa.com':80
- 'ma###group.com':80
- 'he####ychefla.com':80
- 'ha####sippe.quest':80
- 'pa###cco.com':80
- 'un#####arbonbrush.com':80
- 'b8##ex.com':80
- 'ca####utiqueapp.com':80
- 'gl###hpunks.art':80
TCP
HTTP GET requests
- http://cm#.lol/kxoopj
- http://23.##.159.208/1111/vbc.exe
- http://www.d1###resa.com/rqan/?Cz#######################################################################################
- http://www.ma###group.com/rqan/?Cz#######################################################################################
- http://www.he####ychefla.com/rqan/?Cz#######################################################################################
- http://www.ha####sippe.quest/rqan/?Cz#######################################################################################
- http://www.pa###cco.com/rqan/?Cz#######################################################################################
- http://www.un#####arbonbrush.com/rqan/?Cz#######################################################################################
- http://www.b8##ex.com/rqan/?Cz#######################################################################################
- http://www.ap####acrtl.quest/rqan/?Cz#######################################################################################
- http://www.ca####utiqueapp.com/rqan/?Cz#######################################################################################
- http://www.gl###hpunks.art/rqan/?Cz#########################################################################################
Other
- 'on####ve.live.com':443
- 'ip####.#m.files.1drv.com':443
UDP
- DNS ASK cm#.lol
- DNS ASK ca###bez.xyz
- DNS ASK ca####utiqueapp.com
- DNS ASK ap####acrtl.quest
- DNS ASK yu###ong66.com
- DNS ASK ma#####foundation.net
- DNS ASK b8##ex.com
- DNS ASK se###mosta.com
- DNS ASK un#####arbonbrush.com
- DNS ASK pa###cco.com
- DNS ASK ha####sippe.quest
- DNS ASK ef###pisart.com
- DNS ASK he####ychefla.com
- DNS ASK ma###group.com
- DNS ASK d1###resa.com
- DNS ASK ce####y21nokta.com
- DNS ASK ip####.#m.files.1drv.com
- DNS ASK on####ve.live.com
- DNS ASK ma####eprint.com
- DNS ASK gl###hpunks.art
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\secinit.exe'
- '<SYSTEM32>\msdt.exe'
