Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- dkiyruvpvh.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\syswow64\autofmt.exe
- %WINDIR%\syswow64\autoconv.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\sufazl6n9gsht95p5d5s
- %TEMP%\qmhndseint
- %TEMP%\dkiyruvpvh.exe
Deletes the following files
- %TEMP%\dkiyruvpvh.exe
Network activity
Connects to
- '19#.#3.191.101':80
- 'du####aseattle.com':80
- 'he###rguru.com':80
- 'el###bed.com':80
- 'ti#####rarkansas.net':80
- 'od###nicy.xyz':80
- 'th######rianscandleco.com':80
- 'bi##ngm.com':80
- 'sh######usandholdfast.com':80
- 'co####do-tool.com':80
- 'ne#####-shareholder.com':80
- 'sp#####istgenset.com':80
- 'ds###sho327.xyz':80
- 'ou###glove.com':80
TCP
HTTP GET requests
- http://19#.#3.191.101/790/vbc.exe
- http://www.bi##ngm.com/hpe8/?Ab#######################################################################################
- http://www.co####do-tool.com/hpe8/?Ab#######################################################################################
- http://www.ds###sho327.xyz/hpe8/?Ab#######################################################################################
- http://www.sp#####istgenset.com/hpe8/?Ab#################################################################################
- http://www.ne#####-shareholder.com/hpe8/?Ab#################################################################################
- http://www.co####do-tool.com/hpe8/?Ab#################################################################################
- http://www.sh######usandholdfast.com/hpe8/?Ab#################################################################################
- http://www.ou###glove.com/hpe8/?Ab#######################################################################################
- http://www.bi##ngm.com/hpe8/?Ab#################################################################################
- http://www.od###nicy.xyz/hpe8/?Ab#################################################################################
- http://www.ca###chef.com/hpe8/?Ab#################################################################################
- http://www.ti#####rarkansas.net/hpe8/?Ab#################################################################################
- http://www.bo######bridalcompany.com/hpe8/?Ab#################################################################################
- http://www.el###bed.com/hpe8/?Ab#################################################################################
- http://www.he###rguru.com/hpe8/?Ab#################################################################################
- http://www.du####aseattle.com/hpe8/?Ab#################################################################################
- http://www.th######rianscandleco.com/hpe8/?Ab#################################################################################
- http://www.kt##as.xyz/hpe8/?Ab#######################################################################################
UDP
- DNS ASK ba####itcity.top
- DNS ASK or#######centsolutions.space
- DNS ASK sa###io6.com
- DNS ASK ds###sho327.xyz
- DNS ASK re#####omilhas.online
- DNS ASK th###pei.com
- DNS ASK sp#####istgenset.com
- DNS ASK ne#####-shareholder.com
- DNS ASK co####do-tool.com
- DNS ASK ou###glove.com
- DNS ASK sh######usandholdfast.com
- DNS ASK th######rianscandleco.com
- DNS ASK od###nicy.xyz
- DNS ASK ca###chef.com
- DNS ASK ti#####rarkansas.net
- DNS ASK bo######bridalcompany.com
- DNS ASK el###bed.com
- DNS ASK he###rguru.com
- DNS ASK du####aseattle.com
- DNS ASK bi##ngm.com
- DNS ASK kt##as.xyz
Miscellaneous
Creates and executes the following
- '%TEMP%\dkiyruvpvh.exe' %TEMP%\qmhndseint
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\dkiyruvpvh.exe"