Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- <Current directory>\004f0000
Deletes the following files
- C:\users\public\vbc.exe
Substitutes the following files
- <PATH_SAMPLE>.xlsx
Network activity
Connects to
- 'ww#######alincinte.sytes.net':80
- '10#.#45.252.87':80
- 'st####edeals.com':80
- 'ir###sights.org':80
- 'if##r.ltd':80
- 'mo###pid.com':80
- '05##cq.com':80
- 'se#####yhomecomfort.com':80
- 'yi####cammozaik.com':80
TCP
HTTP GET requests
- http://ww#######alincinte.sytes.net/swiss/trn16/trn16.docx?&g#######################################################
- http://19#.#10.219.10/swiss/trn16/rcp_copy.doc?&v################################################################################
- http://ww#######alincinte.sytes.net/swiss/trn16/rcp_copy
- http://10#.#45.252.87/rec22566988/wininit.exe
- http://www.st####edeals.com/ermr/?_n######################################################################################################################
- http://www.ir###sights.org/ermr/?_n######################################################################################################################
- http://www.if##r.ltd/ermr/?_n######################################################################################################################
- http://www.mo###pid.com/ermr/?_n######################################################################################################################
- http://www.05##cq.com/ermr/?_n######################################################################################################################
- http://www.se#####yhomecomfort.com/ermr/?_n######################################################################################################################
- http://www.yi####cammozaik.com/ermr/?_n######################################################################################################################
UDP
- DNS ASK ww#######alincinte.sytes.net
- DNS ASK am####daisy.online
- DNS ASK st####edeals.com
- DNS ASK ir###sights.org
- DNS ASK if##r.ltd
- DNS ASK li###15.online
- DNS ASK mo###pid.com
- DNS ASK 05##cq.com
- DNS ASK se#####yhomecomfort.com
- DNS ASK n-#####roomingsalon.com
- DNS ASK bi###opro.com
- DNS ASK yi####cammozaik.com
Miscellaneous
Executes the following
- '%ProgramFiles%\microsoft office\office14\winword.exe' -Embedding
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\rundll32.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
