Technical Information
To ensure autorun and distribution
Creates or modifies the following files
- <SYSTEM32>\tasks\updates\krffltfjhg
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %APPDATA%\krffltfjhg.exe
- %TEMP%\tmp1776.tmp
Deletes the following files
- %TEMP%\tmp1776.tmp
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Network activity
Connects to
- '19#.#3.213.16':80
- 'mg#####consultant.com':80
- 'lo#####ica-online.store':80
- 'id#####rthechurch.com':80
- 'jo##jem.com':80
- 'gi#####tuermer.online':80
- 'di####lturismo.com':80
- 'ex####fiancee.com':80
- 'pr###owan.com':80
- 'tr####usemunnar.com':80
TCP
HTTP GET requests
- http://19#.#3.213.16/244/vbc.exe
- http://www.mg#####consultant.com/e3b2/?YP##########################################################################################
- http://www.lo#####ica-online.store/e3b2/?YP##########################################################################################
- http://www.id#####rthechurch.com/e3b2/?YP##########################################################################################
- http://www.st###lio.com/e3b2/?YP##########################################################################################
- http://www.jo##jem.com/e3b2/?YP##########################################################################################
- http://www.gi#####tuermer.online/e3b2/?YP##########################################################################################
- http://www.di####lturismo.com/e3b2/?YP##########################################################################################
- http://www.ja##t88.com/e3b2/?YP##########################################################################################
- http://www.pr###owan.com/e3b2/?YP##########################################################################################
- http://www.tr####usemunnar.com/e3b2/?YP##########################################################################################
UDP
- DNS ASK mg#####consultant.com
- DNS ASK pr####udioeye.com
- DNS ASK lo#####ica-online.store
- DNS ASK id#####rthechurch.com
- DNS ASK st###lio.com
- DNS ASK do####eethalbee.com
- DNS ASK jo##jem.com
- DNS ASK gi#####tuermer.online
- DNS ASK di####lturismo.com
- DNS ASK ma####mdreams.com
- DNS ASK ja##t88.com
- DNS ASK ex####fiancee.com
- DNS ASK ha###ra.space
- DNS ASK pr###owan.com
- DNS ASK tr####usemunnar.com
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\krFFLtFjhg" /XML "%TEMP%\tmp1776.tmp"' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\krFFLtFjhg" /XML "%TEMP%\tmp1776.tmp"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe"
