Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\nsw4089.tmp
- %TEMP%\ywf60hfaq0sjxtfh
- %TEMP%\msolylsi
- %TEMP%\vyxyntyqzb.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Network activity
Connects to
- '10#.#72.76.143':80
- 'ga###shev.com':80
- 'wa###jue.club':80
- 'im######vemusicacademy.com':80
- 'yo###aect.com':80
- 'fl######riascasablanca3.com':80
- 've####andmade.com':80
- 'bo##8.com':80
- 'gr#####eningevent.com':80
- 'sm###que.com':80
- 'xn###-sma.com':80
- 'br####heanalyst.com':80
- 'pr#####s-storage.com':80
- 'cr####it3110.com':80
- '51##w.com':80
- 'ly####.solutions':80
- 'pr#####medsolution.com':80
- 'th######ticdata.solutions':80
- 'ni#####rfumeonline.com':80
TCP
HTTP GET requests
- http://10#.#72.76.143/jk/PO4550358074.exe
- http://www.ni#####rfumeonline.com/tgdh/?2d#####################################################################################################
- http://www.gr#####eningevent.com/tgdh/?2d#####################################################################################################
- http://www.ga###shev.com/tgdh/?2d#####################################################################################################
- http://www.wa###jue.club/tgdh/?2d#####################################################################################################
- http://www.fl######riascasablanca3.com/tgdh/?2d#####################################################################################################
- http://www.im######vemusicacademy.com/tgdh/?2d#####################################################################################################
- http://www.yo###aect.com/tgdh/?2d#####################################################################################################
- http://www.fl######riascasablanca3.com/tgdh/?2d#########################################################################################################
- http://www.ve####andmade.com/tgdh/?2d#########################################################################################################
- http://www.xn###ews-zoa.fr/tgdh/?2d#########################################################################################################
- http://www.bo##8.com/tgdh/?2d#########################################################################################################
- http://www.th######ticdata.solutions/tgdh/?2d###########################################################################################
- http://www.xn###ews-zoa.fr/tgdh/?2d###########################################################################################
- http://www.xn###-sma.com/tgdh/?2d###########################################################################################
- http://www.br####heanalyst.com/tgdh/?2d###########################################################################################
- http://www.pr#####s-storage.com/tgdh/?2d###########################################################################################
- http://www.cr####it3110.com/tgdh/?2d###########################################################################################
- http://www.51##w.com/tgdh/?2d###########################################################################################
- http://www.ly####.solutions/tgdh/?2d###########################################################################################
- http://www.pr#####medsolution.com/tgdh/?2d###########################################################################################
- http://www.sm###que.com/tgdh/?2d###########################################################################################
- http://www.th######ticdata.solutions/tgdh/?2d#########################################################################################################
UDP
- DNS ASK pr#####medsolution.com
- DNS ASK ga###shev.com
- DNS ASK wa###jue.club
- DNS ASK ce######ejourdechance.com
- DNS ASK im######vemusicacademy.com
- DNS ASK yo###aect.com
- DNS ASK fl######riascasablanca3.com
- DNS ASK pu###ekasht.com
- DNS ASK ve####andmade.com
- DNS ASK bo##8.com
- DNS ASK sm###que.com
- DNS ASK th######ticdata.solutions
- DNS ASK xn###ews-zoa.fr
- DNS ASK xn###-sma.com
- DNS ASK ty##ds.top
- DNS ASK br####heanalyst.com
- DNS ASK pr#####s-storage.com
- DNS ASK cr####it3110.com
- DNS ASK 51##w.com
- DNS ASK ly####.solutions
- DNS ASK gr#####eningevent.com
- DNS ASK ni#####rfumeonline.com
Miscellaneous
Creates and executes the following
- '%TEMP%\vyxyntyqzb.exe' %TEMP%\msolylsi
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\netstat.exe'
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
