Technical Information
Malicious functions
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\yrxgm2w0x467y
- %TEMP%\nse627.tmp\ancprnfrgdi.dll
Network activity
TCP
HTTP GET requests
- http://10#.#73.143.36/1010/vbc.exe
- http://www.24##k.com/ea0r/?XF#####################################################################################
- http://www.br####im-int.com/ea0r/?nd#####################################################################################
- http://www.kg####chswehr.com/ea0r/?XF#####################################################################################
- http://www.as###ubz-hk.com/ea0r/?nd#####################################################################################
- http://www.tx###rsolar.com/ea0r/?XF#####################################################################################
- http://www.me###umber.com/ea0r/?nd#####################################################################################
- http://www.ra##tm.com/ea0r/?XF#####################################################################################
- http://www.sh###sbox.com/ea0r/?nd#####################################################################################
- http://www.cc##gz.com/ea0r/?XF#####################################################################################
- http://www.gr###cofiji.com/ea0r/?nd#####################################################################################
- http://www.no#####nancewhite.xyz/ea0r/?nd#####################################################################################
UDP
- DNS ASK 24##k.com
- DNS ASK br####im-int.com
- DNS ASK kg####chswehr.com
- DNS ASK as###ubz-hk.com
- DNS ASK tx###rsolar.com
- DNS ASK me###umber.com
- DNS ASK ra##tm.com
- DNS ASK sh###sbox.com
- DNS ASK ig####estakov.com
- DNS ASK ev###avto.store
- DNS ASK cc##gz.com
- DNS ASK gr###cofiji.com
- DNS ASK no#####nancewhite.xyz
Miscellaneous
Searches for the following windows
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Executes the following
- '%CommonProgramFiles(x86)%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\control.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
