Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- sulgnixa.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\fjcbte7lrj1r
- %TEMP%\ozfwpgvmc
- %TEMP%\sulgnixa.exe
Deletes the following files
- %TEMP%\sulgnixa.exe
Network activity
Connects to
- '19#.#2.81.20':80
- 'ex####emytruth.com':80
- 'ha####likshop.com':80
- 'kl###h22.com':80
- 'gi#####lpresentes.com':80
- 'vi#####ganicbarsoap.com':80
- 'pu######ticexperiment.com':80
- 'sh#####gclick.online':80
- 'so####okings.com':80
- 'sk#####gyousoftly.com':80
- 'we####gbyneus.com':80
- 'co######senosroutercnc.com':80
- 'in###edkap.com':80
- 'fr##btc.pro':80
- 'mi###andina.com':80
- 'ri####dklewis.store':80
TCP
HTTP GET requests
- http://19#.#2.81.20/doc88/DOC88.exe
- http://www.ba###z.kitchen/itq4/?zz###############################################################################################
- http://www.fr##btc.pro/itq4/?zz###############################################################################################
- http://www.in###edkap.com/itq4/?zz###############################################################################################
- http://www.rp##nt.com/itq4/?zz###############################################################################################
- http://www.co######senosroutercnc.com/itq4/?zz#####################################################################################
- http://www.we####gbyneus.com/itq4/?zz#####################################################################################
- http://www.sk#####gyousoftly.com/itq4/?zz#####################################################################################
- http://www.so####okings.com/itq4/?zz#####################################################################################
- http://www.sh#####gclick.online/itq4/?zz#####################################################################################
- http://www.pu######ticexperiment.com/itq4/?zz#####################################################################################
- http://www.vi#####ganicbarsoap.com/itq4/?zz#####################################################################################
- http://www.gi#####lpresentes.com/itq4/?zz#####################################################################################
- http://www.rp##nt.com/itq4/?zz#####################################################################################
- http://www.pr####tbiotech.com/itq4/?zz#####################################################################################
- http://www.kl###h22.com/itq4/?zz#####################################################################################
- http://www.ha####likshop.com/itq4/?zz#####################################################################################
- http://www.ex####emytruth.com/itq4/?zz#####################################################################################
- http://www.mi###andina.com/itq4/?zz###############################################################################################
- http://www.ri####dklewis.store/itq4/?zz###############################################################################################
UDP
- DNS ASK ex####emytruth.com
- DNS ASK mi###andina.com
- DNS ASK ba###z.kitchen
- DNS ASK fr##btc.pro
- DNS ASK in###edkap.com
- DNS ASK co######senosroutercnc.com
- DNS ASK we####gbyneus.com
- DNS ASK gr###mino.com
- DNS ASK ci######cnt1631545392.com
- DNS ASK sh####or-432.club
- DNS ASK sk#####gyousoftly.com
- DNS ASK sh#####gclick.online
- DNS ASK pu######ticexperiment.com
- DNS ASK vi#####ganicbarsoap.com
- DNS ASK gi#####lpresentes.com
- DNS ASK rp##nt.com
- DNS ASK pr####tbiotech.com
- DNS ASK kl###h22.com
- DNS ASK ha####likshop.com
- DNS ASK so####okings.com
- DNS ASK ri####dklewis.store
Miscellaneous
Creates and executes the following
- '%TEMP%\sulgnixa.exe' %TEMP%\ozfwpgvmc
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\sulgnixa.exe"