Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- vbc.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
TCP
HTTP GET requests
- http://19#.#27.129.22/vbc.exe
- http://www.jo##nu.com/mfg6/?2d##########################################################################################
- http://www.xn#######b8bb5cvabb1bu1bw4y.com/mfg6/?2d##########################################################################################
- http://www.si####dsoleil.com/mfg6/?2d##########################################################################################
- http://www.fl####ssfacess.com/mfg6/?2d##########################################################################################
- http://www.go###icy.com/mfg6/?2d##########################################################################################
- http://www.di###aluj.com/mfg6/?2d##########################################################################################
- http://www.pe###roup.com/mfg6/?2d##########################################################################################
- http://www.sh#####lktopluto.com/mfg6/?2d##########################################################################################
- http://www.so##yan.com/mfg6/?2d##########################################################################################
- http://www.rt##oo.com/mfg6/?2d##########################################################################################
- http://www.mu##iry.com/mfg6/?2d##########################################################################################
- http://www.ph#####inesjobbank.com/mfg6/?2d##########################################################################################
UDP
- DNS ASK ha###bin.com
- DNS ASK jo##nu.com
- DNS ASK xn#######b8bb5cvabb1bu1bw4y.com
- DNS ASK si####dsoleil.com
- DNS ASK ac####gisobar.com
- DNS ASK fl####ssfacess.com
- DNS ASK go###icy.com
- DNS ASK di###aluj.com
- DNS ASK pe###roup.com
- DNS ASK sh#####lktopluto.com
- DNS ASK so##yan.com
- DNS ASK fs##nk.net
- DNS ASK rt##oo.com
- DNS ASK mu##iry.com
- DNS ASK ph#####inesjobbank.com
- DNS ASK co####etherapie.com
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\timeout.exe' 4' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\timeout.exe' 4
- '%WINDIR%\syswow64\napstat.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
