Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- rjoqtmg.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\nz1zy22macl0zf
- %TEMP%\tsbvjanh
- %TEMP%\rjoqtmg.exe
Deletes the following files
- %TEMP%\rjoqtmg.exe
Network activity
Connects to
- '84.##.132.110':80
- 'sc#####ngturtles.com':80
- 'ma####paces.digital':80
- 'un###chs.xyz':80
- 'aj###.network':80
- 'db###esf.xyz':80
- 'ca###nia.city':80
- 'sp#####ng-sunshine.com':80
- 'bl####nelobela.com':80
- 'ca####mavi46.com':80
- 'ga#####panytexas.com':80
- 'ne#######carwrecklawyers.com':80
- 'wr####entown.space':80
- 'be####escapenh.com':80
- 'du##a.info':80
- 'sc###njs.com':80
- 'zi#####ulamakredisi.xyz':80
- 'ai#####entomartinez.com':80
- 'ba#####akenetcati.com':80
TCP
HTTP GET requests
- http://84.##.132.110/55/vbc.exe
- http://www.sc#####ngturtles.com/wgau/?5j#####################################################################################
- http://www.ma####paces.digital/wgau/?5j#####################################################################################
- http://www.un###chs.xyz/wgau/?5j#####################################################################################
- http://www.aj###.network/wgau/?5j#####################################################################################
- http://www.db###esf.xyz/wgau/?5j#####################################################################################
- http://www.st##sg.club/wgau/?5j##########################################################################################
- http://www.ca###nia.city/wgau/?5j##########################################################################################
- http://www.we####gsbychad.com/wgau/?5j##########################################################################################
- http://www.bl####nelobela.com/wgau/?5j#####################################################################################
- http://www.sp#####ng-sunshine.com/wgau/?5j##########################################################################################
- http://www.ai#####entomartinez.com/wgau/?5j##########################################################################################
- http://www.ga#####panytexas.com/wgau/?5j##########################################################################################
- http://www.ne#######carwrecklawyers.com/wgau/?5j##########################################################################################
- http://www.wr####entown.space/wgau/?5j##########################################################################################
- http://www.be####escapenh.com/wgau/?5j##########################################################################################
- http://www.du##a.info/wgau/?5j##########################################################################################
- http://www.sc###njs.com/wgau/?5j##########################################################################################
- http://www.zi#####ulamakredisi.xyz/wgau/?5j##########################################################################################
- http://www.ca####mavi46.com/wgau/?5j##########################################################################################
- http://www.ba#####akenetcati.com/wgau/?5j#####################################################################################
UDP
- DNS ASK zi#####ulamakredisi.xyz
- DNS ASK bl####nelobela.com
- DNS ASK sc#####ngturtles.com
- DNS ASK ma####paces.digital
- DNS ASK un###chs.xyz
- DNS ASK aj###.network
- DNS ASK db###esf.xyz
- DNS ASK st##sg.club
- DNS ASK he##ie.info
- DNS ASK ca###nia.city
- DNS ASK te###phone.net
- DNS ASK we####gsbychad.com
- DNS ASK ca####mavi46.com
- DNS ASK ai#####entomartinez.com
- DNS ASK ga#####panytexas.com
- DNS ASK du####torage.online
- DNS ASK ne#######carwrecklawyers.com
- DNS ASK wr####entown.space
- DNS ASK be####escapenh.com
- DNS ASK du##a.info
- DNS ASK sc###njs.com
- DNS ASK sp#####ng-sunshine.com
- DNS ASK ba#####akenetcati.com
Miscellaneous
Creates and executes the following
- '%TEMP%\rjoqtmg.exe' %TEMP%\tsbvjanh
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\rjoqtmg.exe"
