Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- gkjnybdrg.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\nsebfe5.tmp
- %TEMP%\drh4x9bypjpb28a
- %TEMP%\iufphzpo
- %TEMP%\gkjnybdrg.exe
Deletes the following files
- %TEMP%\gkjnybdrg.exe
Network activity
Connects to
- '10#.#67.92.57':80
- 'pr###ney.com':80
- 'so######guemontevrain77.com':80
- 'vy######procyklostezky.com':80
- 'nu##res.com':80
- 'mu##ta.life':80
- 'pe###ope.team':80
- 'th###oel.com':80
- 'mo####worklabs.com':80
- 'lo###odies.info':80
- 'ha####esssangha.com':80
- 'ma#####eanservices.com':80
- 'za##40.xyz':80
TCP
HTTP GET requests
- http://10#.#67.92.57/mscloud11/vbc.exe
- http://www.pr###ney.com/mt88/?9r#######################################################################################
- http://www.so######guemontevrain77.com/mt88/?9r#######################################################################################
- http://www.vy######procyklostezky.com/mt88/?9r#######################################################################################
- http://www.mu##ta.life/mt88/?9r#######################################################################################
- http://www.pe###ope.team/mt88/?9r#######################################################################################
- http://www.th###oel.com/mt88/?9r#######################################################################################
- http://www.mo####worklabs.com/mt88/?9r#######################################################################################
- http://www.lo###odies.info/mt88/?9r#######################################################################################
- http://www.ma#####nsecafreitas.com/mt88/?9r#######################################################################################
- http://www.ha####esssangha.com/mt88/?9r#######################################################################################
- http://www.ma#####eanservices.com/mt88/?9r#######################################################################################
- http://www.pr###ney.com/mt88/?9r#########################################################################################
- http://www.za##40.xyz/mt88/?9r#########################################################################################
- http://www.l8##gr.xyz/mt88/?9r#########################################################################################
UDP
- DNS ASK pr###ney.com
- DNS ASK za##40.xyz
- DNS ASK tr#####tinvesting.com
- DNS ASK ma#####eanservices.com
- DNS ASK de#####rinfotech.com
- DNS ASK ha####esssangha.com
- DNS ASK ma#####nsecafreitas.com
- DNS ASK lo###odies.info
- DNS ASK l8##gr.xyz
- DNS ASK mo####worklabs.com
- DNS ASK pe###ope.team
- DNS ASK mu##ta.life
- DNS ASK nu##res.com
- DNS ASK vy######procyklostezky.com
- DNS ASK so####mphuyen.com
- DNS ASK pe###ines.com
- DNS ASK so######guemontevrain77.com
- DNS ASK th###oel.com
- DNS ASK ai####ference.com
Miscellaneous
Creates and executes the following
- '%TEMP%\gkjnybdrg.exe' %TEMP%\iufphzpo
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\mstsc.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\gkjnybdrg.exe"
