Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Executes the following (exploit)
- '%ProgramFiles%\microsoft office\office14\excel.exe' /dde
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- dyteazqadx.exe
Modifies file system
Creates the following files
- %TEMP%\a9r1a8xmwy_w1z11y_t4.tmp\has been verified. however pdf, jpeg, docx, .xlsx
- %TEMP%\a9r1a8xmwy_w1z11y_t4.tmp\~$has been verified. however pdf, jpeg, docx, .xlsx
- %TEMP%\9676.tmp
- C:\users\public\vbc.exe
- %TEMP%\u0otaajnq46hz
- %TEMP%\olxfv
- %TEMP%\dyteazqadx.exe
Deletes the following files
- %TEMP%\dyteazqadx.exe
Network activity
Connects to
- '19#.#.122.160':80
- 'tr####ndrm.store':80
- 'jz##ly.com':80
- 'md####plastia.com':80
- 'so####ab2.online':80
- 'be####utdoors.net':80
- 'sa##gs.com':80
- 'ev####nersclub.com':80
- 'ql##qq.com':80
- 'lo###care.com':80
- 'st####niemarkel.com':80
- 'we###ecrea.com':80
- 'li####ezstudios.com':80
- 'ba####clothing.com':80
- 'ec###ypto.xyz':80
TCP
HTTP GET requests
- http://19#.#.122.160/pp/buildar2.exe
- http://www.we###ecrea.com/ojqg/?sD###################################################################################
- http://www.ra####nuvogue.com/ojqg/?sD###################################################################################
- http://www.ba####clothing.com/ojqg/?sD###################################################################################
- http://www.li####ezstudios.com/ojqg/?sD##################################################################################
- http://www.we###ecrea.com/ojqg/?sD##################################################################################
- http://www.st####niemarkel.com/ojqg/?sD##################################################################################
- http://www.lo###care.com/ojqg/?sD##################################################################################
- http://www.ec###ypto.xyz/ojqg/?sD###################################################################################
- http://www.ql##qq.com/ojqg/?sD##################################################################################
- http://www.sa##gs.com/ojqg/?sD##################################################################################
- http://www.be####utdoors.net/ojqg/?sD##################################################################################
- http://www.ks###ine.com/ojqg/?sD##################################################################################
- http://www.so####ab2.online/ojqg/?sD##################################################################################
- http://www.md####plastia.com/ojqg/?sD##################################################################################
- http://www.jz##ly.com/ojqg/?sD##################################################################################
- http://www.tr####ndrm.store/ojqg/?sD##################################################################################
- http://www.ev####nersclub.com/ojqg/?sD##################################################################################
- http://www.st####niemarkel.com/ojqg/?sD###################################################################################
UDP
- DNS ASK tr####ndrm.store
- DNS ASK ak###fqzm8.com
- DNS ASK ra####nuvogue.com
- DNS ASK ba####clothing.com
- DNS ASK li####ezstudios.com
- DNS ASK we###ecrea.com
- DNS ASK st####niemarkel.com
- DNS ASK ro#####portsmedia.com
- DNS ASK lo###care.com
- DNS ASK ql##qq.com
- DNS ASK ev####nersclub.com
- DNS ASK sa##gs.com
- DNS ASK be####utdoors.net
- DNS ASK ks###ine.com
- DNS ASK so####ab2.online
- DNS ASK vi#######vesprepaidscard.com
- DNS ASK md####plastia.com
- DNS ASK jz##ly.com
- DNS ASK gr#####carehealth.com
- DNS ASK ec###ypto.xyz
Miscellaneous
Searches for the following windows
- ClassName: 'XLMAIN' WindowName: 'Microsoft Excel (Product Activation Failed) - Book1'
- ClassName: 'XLMAIN' WindowName: ''
Creates and executes the following
- '%TEMP%\dyteazqadx.exe' %TEMP%\olxfv
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\dyteazqadx.exe"