Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- ayram.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\0ikdxrrp2nywxsk0j7v
- %TEMP%\whsbzgxjnx
- %TEMP%\ayram.exe
Deletes the following files
- %TEMP%\ayram.exe
Network activity
Connects to
- '84.##.133.168':80
- 'sd##49.xyz':80
- 're###golf.com':80
- 'po####acontece.net':80
- 'ma###nland.com':80
- 'ro####ygreene.com':80
- 'jo###ncarde.com':80
- 'ed#####rtalentmatch.com':80
- 'ma######megfitzrandolph.com':80
- 'kn#######videoproductions.com':80
- 'na######uropathyrelief.com':80
- 'as###pas.com':80
TCP
HTTP GET requests
- http://84.##.133.168/3030/vbc.exe
- http://www.sd##49.xyz/ac4q/?cd#################################################################################
- http://www.re###golf.com/ac4q/?cd#################################################################################
- http://www.po####acontece.net/ac4q/?cd#################################################################################
- http://www.ma###nland.com/ac4q/?cd#################################################################################
- http://www.ar###bet7.com/ac4q/?cd#################################################################################
- http://www.ro####ygreene.com/ac4q/?cd#################################################################################
- http://www.jo###ncarde.com/ac4q/?cd#################################################################################
- http://www.ed#####rtalentmatch.com/ac4q/?cd#################################################################################
- http://www.ma######megfitzrandolph.com/ac4q/?cd#######################################################################################
- http://www.kn#######videoproductions.com/ac4q/?cd#######################################################################################
- http://www.na######uropathyrelief.com/ac4q/?cd#######################################################################################
- http://www.be#####eworleans.info/ac4q/?cd#######################################################################################
- http://www.as###pas.com/ac4q/?cd#######################################################################################
UDP
- DNS ASK sd##49.xyz
- DNS ASK be#####eworleans.info
- DNS ASK na######uropathyrelief.com
- DNS ASK kn#######videoproductions.com
- DNS ASK da###riyadh.com
- DNS ASK ma######megfitzrandolph.com
- DNS ASK lc###tle.net
- DNS ASK ed#####rtalentmatch.com
- DNS ASK jo###ncarde.com
- DNS ASK to###6888.com
- DNS ASK wi#####eplacement3.com
- DNS ASK ro####ygreene.com
- DNS ASK ar###bet7.com
- DNS ASK ma###nland.com
- DNS ASK sh#####aboutbaby.com
- DNS ASK ma##ix.com
- DNS ASK de####cocoins.com
- DNS ASK po####acontece.net
- DNS ASK bo#######omputezzerkalo.online
- DNS ASK re###golf.com
- DNS ASK as###pas.com
- DNS ASK de####ithani.com
Miscellaneous
Creates and executes the following
- '%TEMP%\ayram.exe' %TEMP%\whsbzgxjnx
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\raserver.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\ayram.exe"
