Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Executes the following (exploit)
- '%ProgramFiles%\microsoft office\office14\excel.exe' /dde
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
the following user processes:
- rwuqghcobk.exe
Modifies file system
Creates the following files
- %TEMP%\a9ry7ov7k_1uy0vdw_1d0.tmp\has been verified. however pdf, jpeg, docx, .xlsx
- %TEMP%\a9ry7ov7k_1uy0vdw_1d0.tmp\~$has been verified. however pdf, jpeg, docx, .xlsx
- %TEMP%\2bd1.tmp
- C:\users\public\vbc.exe
- %TEMP%\nso4625.tmp
- %TEMP%\g45wniea1c9j45
- %TEMP%\ljykkeryf
- %TEMP%\rwuqghcobk.exe
Deletes the following files
- %TEMP%\rwuqghcobk.exe
Network activity
Connects to
- '10#.#68.33.31':80
- 'on#####licnudity.com':80
- 'pe#####prevent.online':80
- 'en####edhealth.com':80
- 'so###staci.com':80
- 'an######zgarhaliyikama.com':80
- 'sc######acherindemnity.com':80
- 'bo####tography.com':80
- 'me###llvic.com':80
- 'pa###aintl.com':80
- 'xn###btr36a.com':80
- 'gi######asadadhikari.com':80
- 're######gtothechurch.com':80
- 'sc#####cceptancefee.com':80
TCP
HTTP GET requests
- http://10#.#68.33.31/pr/builder1.exe
- http://www.on#####licnudity.com/qm8c/?Lt############################################################################################
- http://www.pe#####prevent.online/qm8c/?Lt############################################################################################
- http://www.en####edhealth.com/qm8c/?Lt############################################################################################
- http://www.so###staci.com/qm8c/?Lt############################################################################################
- http://www.an######zgarhaliyikama.com/qm8c/?Lt############################################################################################
- http://www.sc######acherindemnity.com/qm8c/?Lt############################################################################################
- http://www.bo####tography.com/qm8c/?Lt############################################################################################
- http://www.me###llvic.com/qm8c/?Lt############################################################################################
- http://www.pa###aintl.com/qm8c/?Lt############################################################################################
- http://www.bo####tography.com/qm8c/?Lt##########################################################################################
- http://www.xn###btr36a.com/qm8c/?Lt##########################################################################################
- http://www.gi######asadadhikari.com/qm8c/?Lt##########################################################################################
- http://www.an######zgarhaliyikama.com/qm8c/?Lt##########################################################################################
- http://www.re######gtothechurch.com/qm8c/?Lt##########################################################################################
- http://www.sc#####cceptancefee.com/qm8c/?Lt##########################################################################################
UDP
- DNS ASK kd###ntail.xyz
- DNS ASK gi######asadadhikari.com
- DNS ASK xn###btr36a.com
- DNS ASK pa###aintl.com
- DNS ASK me###llvic.com
- DNS ASK bo####tography.com
- DNS ASK sh##333.com
- DNS ASK sc######acherindemnity.com
- DNS ASK re######gtothechurch.com
- DNS ASK aq#####s-aviation.com
- DNS ASK so###staci.com
- DNS ASK en####edhealth.com
- DNS ASK pe#####prevent.online
- DNS ASK on#####licnudity.com
- DNS ASK de####onvanish.com
- DNS ASK 93##3.xyz
- DNS ASK ac####ntainer.com
- DNS ASK an######zgarhaliyikama.com
- DNS ASK sc#####cceptancefee.com
Miscellaneous
Searches for the following windows
- ClassName: 'XLMAIN' WindowName: 'Microsoft Excel (Product Activation Failed) - Book1'
- ClassName: 'XLMAIN' WindowName: ''
Creates and executes the following
- '%TEMP%\rwuqghcobk.exe' %TEMP%\ljykkeryf
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\colorcpl.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\rwuqghcobk.exe"
