Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'K6XHB08X_VE' = '%ProgramFiles(x86)%\Hm0rxntbp\colorcplonup.exe'
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\hm0rxntbp\colorcplonup.exe
- %ProgramFiles(x86)%\hm0rxntbp\colorcplonup.exe
Deletes the following files
- C:\users\public\vbc.exe
Network activity
Connects to
- '21#.#46.82.207':80
- 'go##ej.site':80
- 'ki##lia.net':80
- 'eq###es4you.com':80
- 'ca#######ventphotography.com':80
- 'lu#####arpellini.com':80
- 'sq###zewax.com':80
- 'op###adds.com':80
- 'fw##022.com':80
- 'su#####athasecurity.com':80
- 'st#####axsolutions.com':80
- 'sp###mente.com':80
- 'ex###ngs.com':80
- 'gz##cs.com':80
TCP
HTTP GET requests
- http://21#.#46.82.207/190/vbc.exe
- http://www.go##ej.site/dahn/?tZ##################################################################################################
- http://www.ki##lia.net/dahn/?tZ##################################################################################################
- http://www.eq###es4you.com/dahn/?tZ##################################################################################################
- http://www.ca#######ventphotography.com/dahn/?tZ##################################################################################################
- http://www.lu#####arpellini.com/dahn/?tZ##################################################################################################
- http://www.sq###zewax.com/dahn/?tZ##################################################################################################
- http://www.op###adds.com/dahn/?tZ##################################################################################################
- http://www.fw##022.com/dahn/?tZ##################################################################################################
- http://www.su#####athasecurity.com/dahn/?tZ##################################################################################################
- http://www.st#####axsolutions.com/dahn/?tZ##################################################################################################
- http://www.sp###mente.com/dahn/?tZ##################################################################################################
- http://www.ex###ngs.com/dahn/?tZ##################################################################################################
- http://www.he###tadel.xyz/dahn/?tZ################################################################################################################
- http://www.gz##cs.com/dahn/?tZ##############################################################################################################
UDP
- DNS ASK go##ej.site
- DNS ASK he###tadel.xyz
- DNS ASK ex###ngs.com
- DNS ASK sp###mente.com
- DNS ASK st#####axsolutions.com
- DNS ASK su#####athasecurity.com
- DNS ASK fw##022.com
- DNS ASK mq###sledua.xyz
- DNS ASK op###adds.com
- DNS ASK sq###zewax.com
- DNS ASK lu#####arpellini.com
- DNS ASK ca#######ventphotography.com
- DNS ASK de##yto.com
- DNS ASK eq###es4you.com
- DNS ASK ki##lia.net
- DNS ASK in###ac1.net
- DNS ASK gz##cs.com
Miscellaneous
Creates and executes the following
- '%ProgramFiles(x86)%\hm0rxntbp\colorcplonup.exe'
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\napstat.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'