Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Executes the following (exploit)
- '%ProgramFiles%\microsoft office\office14\excel.exe' /dde
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- zzhpdpek.exe
Modifies file system
Creates the following files
- %TEMP%\a9ruo4aut_1aak1rb_1jg.tmp\has been verified. however pdf, jpeg, docx, .xlsx
- %TEMP%\a9ruo4aut_1aak1rb_1jg.tmp\~$has been verified. however pdf, jpeg, docx, .xlsx
- %TEMP%\170a.tmp
- C:\users\public\vbc.exe
- %TEMP%\u883bqxkh733zoy
- %TEMP%\alrizz
- %TEMP%\zzhpdpek.exe
Deletes the following files
- %TEMP%\zzhpdpek.exe
Network activity
Connects to
- '19#.#.122.160':80
- 'de#####tion-denver.com':80
- 'be##ll9.com':80
- 'tr#####xternality.info':80
- 'te##leo.com':80
- 'an#####lasquez.online':80
- 'lv#####earchpros.com':80
- 'pr###ofit.com':80
- 'ca#####refarmacia.com':80
- 'jw####rdmotion.com':80
- 'go####ewhere.com':80
- 'na###lich.store':80
- 'lu###shi4.xyz':80
- 'no####tarbets.com':80
- 'da####sden11.com':80
- 'si##.space':80
- 'de#######fessionalmovers.com':80
- '18##d8.com':80
- 'at#####eautyexpert.com':80
- 'ne####ionfit.com':80
TCP
HTTP GET requests
- http://19#.#.122.160/PP/builder1.exe
- http://www.de#####tion-denver.com/qbks/?3f#########################################################################################
- http://www.be##ll9.com/qbks/?3f#########################################################################################
- http://www.te##leo.com/qbks/?3f#########################################################################################
- http://www.ca#####refarmacia.com/qbks/?3f#########################################################################################
- http://www.an#####lasquez.online/qbks/?3f############################################################################################
- http://www.lv#####earchpros.com/qbks/?3f############################################################################################
- http://www.pr###ofit.com/qbks/?3f############################################################################################
- http://www.ca#####refarmacia.com/qbks/?3f############################################################################################
- http://www.jw####rdmotion.com/qbks/?3f############################################################################################
- http://www.go####ewhere.com/qbks/?3f############################################################################################
- http://www.na###lich.store/qbks/?3f############################################################################################
- http://www.lu###shi4.xyz/qbks/?3f############################################################################################
- http://www.no####tarbets.com/qbks/?3f############################################################################################
- http://www.da####sden11.com/qbks/?3f############################################################################################
- http://www.si##.space/qbks/?3f############################################################################################
- http://www.de#######fessionalmovers.com/qbks/?3f############################################################################################
- http://www.18##d8.com/qbks/?3f############################################################################################
- http://www.at#####eautyexpert.com/qbks/?3f#########################################################################################
- http://www.ne####ionfit.com/qbks/?3f#########################################################################################
UDP
- DNS ASK 18##d8.com
- DNS ASK de#####tion-denver.com
- DNS ASK be##ll9.com
- DNS ASK tr#####xternality.info
- DNS ASK te##leo.com
- DNS ASK y6##.xyz
- DNS ASK an#####lasquez.online
- DNS ASK lv#####earchpros.com
- DNS ASK pr###ofit.com
- DNS ASK at#####eautyexpert.com
- DNS ASK ca#####refarmacia.com
- DNS ASK go####ewhere.com
- DNS ASK na###lich.store
- DNS ASK lu###shi4.xyz
- DNS ASK xc###pro.pro
- DNS ASK no####tarbets.com
- DNS ASK da####sden11.com
- DNS ASK si##.space
- DNS ASK de#######fessionalmovers.com
- DNS ASK jw####rdmotion.com
- DNS ASK ne####ionfit.com
Miscellaneous
Searches for the following windows
- ClassName: 'XLMAIN' WindowName: 'Microsoft Excel (Product Activation Failed) - Book1'
- ClassName: 'XLMAIN' WindowName: ''
Creates and executes the following
- '%TEMP%\zzhpdpek.exe' %TEMP%\alrizz
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\help.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\zzhpdpek.exe"