Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'D4XTQFWH541' = '%ProgramFiles(x86)%\Abdf\gdinxplpl.exe'
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\nss6401.tmp
- %TEMP%\tgacuu792ji
- %TEMP%\swzbx
- %TEMP%\jabamueah.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\abdf\gdinxplpl.exe
- %ProgramFiles(x86)%\abdf\gdinxplpl.exe
Deletes the following files
- %TEMP%\jabamueah.exe
Network activity
Connects to
- '45.##.151.241':80
- 'cu###panda.com':80
- 'am#####gimages4u.com':80
- 'le#####wnsentine.com':80
- 'mu####products.com':80
- 'da####elibay.com':80
- 'st####teelusa.com':80
- 'ot##.com':80
- 'au#######hipaacompliancy.com':80
- 'zg##y.com':80
- 'om###wap.com':80
- 'eg#####nsultancy.com':80
- 'ex####-crypto.net':80
- 'pi###omain.com':80
TCP
HTTP GET requests
- http://45.##.151.241/9010/vbc.exe
- http://www.cu###panda.com/hwfm/?Nj##########################################################################################
- http://www.am#####gimages4u.com/hwfm/?Nj########################################################################################################
- http://www.le#####wnsentine.com/hwfm/?Nj########################################################################################################
- http://www.mu####products.com/hwfm/?Nj########################################################################################################
- http://www.da####elibay.com/hwfm/?Nj########################################################################################################
- http://www.st####teelusa.com/hwfm/?Nj########################################################################################################
- http://www.ot##.com/hwfm/?Nj########################################################################################################
- http://www.au#######hipaacompliancy.com/hwfm/?Nj########################################################################################################
- http://www.zg##y.com/hwfm/?Nj########################################################################################################
- http://www.om###wap.com/hwfm/?Nj########################################################################################################
- http://www.eg#####nsultancy.com/hwfm/?Nj########################################################################################################
- http://www.ex####-crypto.net/hwfm/?Nj#######################################################################################################
- http://www.cu###panda.com/hwfm/?Nj########################################################################################################
UDP
- DNS ASK ro#######raleighhotelmiami.com
- DNS ASK eg#####nsultancy.com
- DNS ASK om###wap.com
- DNS ASK zg##y.com
- DNS ASK re#####oginissue.com
- DNS ASK au#######hipaacompliancy.com
- DNS ASK ho###shop.com
- DNS ASK ex####-crypto.net
- DNS ASK ot##.com
- DNS ASK da####elibay.com
- DNS ASK mu####products.com
- DNS ASK le#####wnsentine.com
- DNS ASK am#####gimages4u.com
- DNS ASK ma#####penghargaan.com
- DNS ASK cu###panda.com
- DNS ASK st####teelusa.com
- DNS ASK pi###omain.com
Miscellaneous
Creates and executes the following
- '%TEMP%\jabamueah.exe' %TEMP%\swzbx
- '%ProgramFiles(x86)%\abdf\gdinxplpl.exe'
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmmon32.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\jabamueah.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'