Technical Information
To ensure autorun and distribution
Creates or modifies the following files
- <SYSTEM32>\tasks\updates\loxtfkfajldm
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %APPDATA%\loxtfkfajldm.exe
- %TEMP%\tmp9137.tmp
Deletes the following files
- %TEMP%\tmp9137.tmp
Network activity
Connects to
- '13.##5.185.27':80
- 'up##e.com':80
- 'po####mattch.space':80
- 'sf####armer.info':80
- 'pa####trucking.com':80
- 'be####escapenh.com':80
- 'sd##32.xyz':80
- 'al####scloudmv.tech':80
- 'ec####opeller.com':80
- 'ce####core-pain.com':80
- 'st##ii.com':80
- 'me###ial68.com':80
- 'fr######opascualehijos.net':80
TCP
HTTP GET requests
- http://13.##5.185.27/wndcloud/csrss.exe
- http://www.up##e.com/goe8/?2d############################################################################################
- http://www.po####mattch.space/goe8/?2d############################################################################################
- http://www.sf####armer.info/goe8/?2d############################################################################################
- http://www.pa####trucking.com/goe8/?2d############################################################################################
- http://www.be####escapenh.com/goe8/?2d############################################################################################
- http://www.sd##32.xyz/goe8/?2d############################################################################################
- http://www.al####scloudmv.tech/goe8/?2d############################################################################################
- http://www.ec####opeller.com/goe8/?2d############################################################################################
- http://www.ce####core-pain.com/goe8/?2d############################################################################################
- http://www.st##ii.com/goe8/?2d############################################################################################
- http://www.me###ial68.com/goe8/?2d############################################################################################
- http://www.fr######opascualehijos.net/goe8/?2d############################################################################################
- http://www.li####footwear.com/goe8/?2d############################################################################################
UDP
- DNS ASK up##e.com
- DNS ASK po####mattch.space
- DNS ASK sf####armer.info
- DNS ASK pa####trucking.com
- DNS ASK be####escapenh.com
- DNS ASK sd##32.xyz
- DNS ASK al####scloudmv.tech
- DNS ASK ec####opeller.com
- DNS ASK ce####core-pain.com
- DNS ASK st##ii.com
- DNS ASK me###ial68.com
- DNS ASK la##ose.com
- DNS ASK fr######opascualehijos.net
- DNS ASK li####footwear.com
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\loxTFKFajLdm" /XML "%TEMP%\tmp9137.tmp"' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\loxTFKFajLdm" /XML "%TEMP%\tmp9137.tmp"
- '%WINDIR%\syswow64\cmd.exe'
