Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '19#.#2.84.109':80
- 'au###tic.com':80
- 'de###turie.com':80
- 'wi####orhorses.com':80
- 'xi####-jiankang.com':80
- 'be#####rgantrucking.com':80
- 'az##.com':80
- 'bl####ber-bio.com':80
- 'cu###mosec.com':80
- 'le##g.com':80
- 'ma###iyoshi.com':80
- 'wo##1tt.com':80
- 'mo######ilyholdingsllc.com':80
- 'th##one.net':80
TCP
HTTP GET requests
- http://19#.#2.84.109/reverse/vbc.exe
- http://www.au###tic.com/utrf/?tZ######################################################################################
- http://www.de###turie.com/utrf/?tZ######################################################################################
- http://www.wi####orhorses.com/utrf/?tZ######################################################################################
- http://www.xi####-jiankang.com/utrf/?tZ######################################################################################
- http://www.be#####rgantrucking.com/utrf/?tZ######################################################################################
- http://www.az##.com/utrf/?tZ######################################################################################
- http://www.bl####ber-bio.com/utrf/?tZ######################################################################################
- http://www.cu###mosec.com/utrf/?tZ######################################################################################
- http://www.pr######ortgageinvest.com/utrf/?tZ######################################################################################
- http://www.le##g.com/utrf/?tZ######################################################################################
- http://www.ma###iyoshi.com/utrf/?tZ######################################################################################
- http://www.wo##1tt.com/utrf/?tZ######################################################################################
- http://www.mo######ilyholdingsllc.com/utrf/?tZ######################################################################################
- http://www.th##one.net/utrf/?tZ######################################################################################
UDP
- DNS ASK au###tic.com
- DNS ASK de###turie.com
- DNS ASK wi####orhorses.com
- DNS ASK xi####-jiankang.com
- DNS ASK be#####rgantrucking.com
- DNS ASK az##.com
- DNS ASK bl####ber-bio.com
- DNS ASK cu###mosec.com
- DNS ASK pr######ortgageinvest.com
- DNS ASK le##g.com
- DNS ASK ma###iyoshi.com
- DNS ASK wo##1tt.com
- DNS ASK bo###abird.com
- DNS ASK mo######ilyholdingsllc.com
- DNS ASK th##one.net
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cscript.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
