Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Vayygdq' = '"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Lnfzcke\Vayygdq.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'UP-T5HTHUJS' = '%ProgramFiles(x86)%\W5jgdwpox\mfcj8tp9vq8.exe'
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %APPDATA%\microsoft\windows\start menu\programs\lnfzcke\vayygdq.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Deletes the following files
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Network activity
Connects to
- '23.##.159.198':80
- '17#.#45.26.174':80
- 'mu####relation.com':80
- 'va##88.club':80
- 'ke####en-web.com':80
- 'xn######nknacker-dlb.com':80
- 'nx##lls.com':80
- 'ra##r.xyz':80
- 'ku###yishi.com':80
- 'ev#####onitsystems.com':80
- 'ma######trologyfates.com':80
TCP
HTTP GET requests
- http://23.##.159.198/kubar.exe
- http://17#.#45.26.174/kubar_Uneiaqzw.png
- http://www.mu####relation.com/g36t/?ON#######################################################################################
- http://www.va##88.club/g36t/?ON#######################################################################################
- http://www.ke####en-web.com/g36t/?ON#######################################################################################
- http://www.xn######nknacker-dlb.com/g36t/?ON#######################################################################################
- http://www.nx##lls.com/g36t/?ON#######################################################################################
- http://www.ra##r.xyz/g36t/?ON#####################################################################################################
- http://www.ku###yishi.com/g36t/?ON#####################################################################################################
- http://www.ev#####onitsystems.com/g36t/?ON#####################################################################################################
- http://www.ma######trologyfates.com/g36t/?ON#####################################################################################################
UDP
- DNS ASK st####verflow.com
- DNS ASK mu####relation.com
- DNS ASK va##88.club
- DNS ASK ke####en-web.com
- DNS ASK xn######nknacker-dlb.com
- DNS ASK nx##lls.com
- DNS ASK ra##r.xyz
- DNS ASK ku###yishi.com
- DNS ASK ev#####onitsystems.com
- DNS ASK ma######trologyfates.com
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\cmd.exe' /c timeout 20' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c timeout 20
- '%WINDIR%\syswow64\timeout.exe' 20
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
- '%WINDIR%\syswow64\wlanext.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
