Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Xckiqgc' = 'C:\Users\Public\Libraries\cgqikcX.url'
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- C:\users\public\libraries\xckiqgc.exe
- C:\users\public\libraries\cgqikcx.url
Network activity
Connects to
- '19#.#2.84.44':80
- 'sd###hao.com':80
- 'gl####ntactlens.com':80
- 'sc#######vestmentholding.com':80
- 'vi###nary.net':80
- 'vb###orld.com':80
- 'ns###agent.com':80
- 'we##rd.biz':80
- 'cu###dwires.net':80
- 'ja##t88.com':80
- 'tj###nbin.com':80
- 'ty####feedback.com':80
- 'id#######icensedelectrician.com':80
- 'xn#######x1as30j.xn--6qq986b3xl':80
- 'rq####.#m.files.1drv.com':443
- 'on####ve.live.com':443
- 'pi###132bet.com':80
- 'gi####m4print.com':80
TCP
HTTP GET requests
- http://19#.#2.84.44/581/vbc.exe
- http://www.xn#######x1as30j.xn--6qq986b3xl/xtef/?C8################################################################################
- http://www.id#######icensedelectrician.com/xtef/?C8################################################################################
- http://www.ty####feedback.com/xtef/?C8################################################################################
- http://www.tj###nbin.com/xtef/?C8################################################################################
- http://www.ja##t88.com/xtef/?C8################################################################################
- http://www.we##rd.biz/xtef/?C8################################################################################
- http://www.ns###agent.com/xtef/?C8################################################################################
- http://www.vb###orld.com/xtef/?C8################################################################################
- http://www.vi###nary.net/xtef/?C8################################################################################
- http://www.sc#######vestmentholding.com/xtef/?C8################################################################################
- http://www.gl####ntactlens.com/xtef/?C8################################################################################
- http://www.sd###hao.com/xtef/?C8################################################################################
- http://www.pi###132bet.com/xtef/?C8################################################################################
- http://www.ka####slides.com/xtef/?C8################################################################################
- http://www.gi####m4print.com/xtef/?C8################################################################################
Other
- 'on####ve.live.com':443
- 'rq####.#m.files.1drv.com':443
UDP
- DNS ASK on####ve.live.com
- DNS ASK pi###132bet.com
- DNS ASK sd###hao.com
- DNS ASK gl####ntactlens.com
- DNS ASK sc#######vestmentholding.com
- DNS ASK vi###nary.net
- DNS ASK vb###orld.com
- DNS ASK ns###agent.com
- DNS ASK al####arlington.com
- DNS ASK we##rd.biz
- DNS ASK cu###dwires.net
- DNS ASK ja##t88.com
- DNS ASK va######mobilenotary.com
- DNS ASK tj###nbin.com
- DNS ASK ty####feedback.com
- DNS ASK id#######icensedelectrician.com
- DNS ASK xn#######x1as30j.xn--6qq986b3xl
- DNS ASK rq####.#m.files.1drv.com
- DNS ASK ka####slides.com
- DNS ASK gi####m4print.com
Miscellaneous
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\logagent.exe'
- '%WINDIR%\syswow64\systray.exe'
