Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\9woio9yilw
- %TEMP%\nsf338e.tmp\fgxbpquymg.dll
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '19#.#.110.172':80
- 'mo#####erates.solutions':80
- 'sa#####ng-gaziabad.xyz':80
- 'hi#####ofcambridge.com':80
- '87##61.com':80
- 'fo#####reeservice.com':80
- 'de###gli.com':80
- 'bl####erq.online':80
- 'wh###bot.xyz':80
- 'be######smobilegrooming.com':80
- 'wa###12.online':80
- '26##11.com':80
- 'pi###722bk.com':80
- 'ha###atour.com':80
- 'de###bonaza.com':80
- 'di##sor.com':80
TCP
HTTP GET requests
- http://19#.#.110.172/09090/vbc.exe
- http://www.ha###atour.com/mxnu/?oz#################################################################################
- http://www.pi###722bk.com/mxnu/?oz#################################################################################
- http://www.26##11.com/mxnu/?oz#################################################################################
- http://www.wa###12.online/mxnu/?oz#################################################################################
- http://www.na######nciergerealty.com/mxnu/?oz##########################################################################################
- http://www.be######smobilegrooming.com/mxnu/?oz##########################################################################################
- http://www.de###bonaza.com/mxnu/?oz#################################################################################
- http://www.wh###bot.xyz/mxnu/?oz##########################################################################################
- http://www.de###gli.com/mxnu/?oz##########################################################################################
- http://www.fo#####reeservice.com/mxnu/?oz##########################################################################################
- http://www.87##61.com/mxnu/?oz##########################################################################################
- http://www.hi#####ofcambridge.com/mxnu/?oz##########################################################################################
- http://www.sa#####ng-gaziabad.xyz/mxnu/?oz##########################################################################################
- http://www.mo#####erates.solutions/mxnu/?oz##########################################################################################
- http://www.bl####erq.online/mxnu/?oz##########################################################################################
- http://www.di##sor.com/mxnu/?oz#################################################################################
UDP
- DNS ASK ug###line.com
- DNS ASK cl###upids.art
- DNS ASK as####series.com
- DNS ASK ha###atour.com
- DNS ASK pi###722bk.com
- DNS ASK 26##11.com
- DNS ASK wa###12.online
- DNS ASK na######nciergerealty.com
- DNS ASK ta####ialoteria.com
- DNS ASK me####llice.online
- DNS ASK de###bonaza.com
- DNS ASK ql###gzk8f.com
- DNS ASK wh###bot.xyz
- DNS ASK bl####erq.online
- DNS ASK de###gli.com
- DNS ASK fo#####reeservice.com
- DNS ASK 87##61.com
- DNS ASK in####ted-box.com
- DNS ASK hi#####ofcambridge.com
- DNS ASK sa#####ng-gaziabad.xyz
- DNS ASK mo#####erates.solutions
- DNS ASK be######smobilegrooming.com
- DNS ASK di##sor.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\help.exe'
- '<SYSTEM32>\cmd.exe' del "C:\Users\Public\vbc.exe"
