Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\rivqr.qil
- %TEMP%\blclfo.vj
- %TEMP%\xscdhplz.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\9rql2.zip
- %TEMP%\sqlite3.def
- %TEMP%\sqlite3.dll
- %TEMP%\31fi7j71pv
Network activity
Connects to
- '10#.#9.2.245':80
- '70##o.com':80
- 'pi###ike.com':80
- 'mi##ari.com':80
- 'qu####ymakeups.club':80
- 'va####siexpedia.com':80
- 'am###staka.com':80
- 'fy####ilies.co.uk':80
- 'ba####-genot.com':80
- 'jx##y.com':80
- 'ja#####djenna2023.com':80
- 'ta###ian.com':80
- 'el#####irite.website':80
- 'sq##te.org':80
- 'cp###erapy.com':80
- 'co###odes.com':80
- 'xn#####a9abqu3ed.com':80
TCP
HTTP GET requests
- http://10#.#9.2.245/microsoft/vbc.exe
- http://www.70##o.com/ueks/?Lx########################################################################################################################
- http://www.pi###ike.com/ueks/?Lx########################################################################################################################
- http://www.mi##ari.com/ueks/?Lx########################################################################################################################
- http://www.qu####ymakeups.club/ueks/?Lx########################################################################################################################
- http://www.va####siexpedia.com/ueks/?Lx########################################################################################################################
- http://www.am###staka.com/ueks/?Lx########################################################################################################################
- http://www.ba####-genot.com/ueks/?Lx########################################################################################################################
- http://www.fy####ilies.co.uk/ueks/?Lx########################################################################################################################
- http://www.co###odes.com/ueks/?Lx########################################################################################################################
- http://www.ja#####djenna2023.com/ueks/?Lx########################################################################################################################
- http://www.ta###ian.com/ueks/?Lx########################################################################################################################
- http://www.el#####irite.website/ueks/?Lx########################################################################################################################
- http://www.sq##te.org/2017/sqlite-dll-win32-x86-3210000.zip
- http://www.sq##te.org/2022/sqlite-dll-win32-x86-3370000.zip
- http://www.sq##te.org/2021/sqlite-dll-win32-x86-3340000.zip
- http://www.cp###erapy.com/ueks/?Lx########################################################################################################################
- http://www.jx##y.com/ueks/?Lx########################################################################################################################
- http://www.xn#####a9abqu3ed.com/ueks/?Lx########################################################################################################################
UDP
- DNS ASK cp###erapy.com
- DNS ASK 70##o.com
- DNS ASK pi###ike.com
- DNS ASK mi##ari.com
- DNS ASK qu####ymakeups.club
- DNS ASK va####siexpedia.com
- DNS ASK am###staka.com
- DNS ASK fy####ilies.co.uk
- DNS ASK ba####-genot.com
- DNS ASK jx##y.com
- DNS ASK ja#####djenna2023.com
- DNS ASK ta###ian.com
- DNS ASK el#####irite.website
- DNS ASK ca####tweet.store
- DNS ASK sq##te.org
- DNS ASK co###odes.com
- DNS ASK xn#####a9abqu3ed.com
Miscellaneous
Creates and executes the following
- '%TEMP%\xscdhplz.exe' %TEMP%\blclfo.vj
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cscript.exe'
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
