Technical Information
Malicious functions
Creates and executes the following (exploit)
- '%TEMP%\client.exe' A C
Executes the following (exploit)
- '%WINDIR%\syswow64\cmd.exe' /C %tmp%\Client.exe A C
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- %TEMP%\client.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Deletes the following files
- %TEMP%\client.exe
Network activity
Connects to
- 'ma####rect.co.uk':80
- 'xi####nwangdai.com':80
- '0b###print.xyz':80
- 'fa###lthi.com':80
- 'so####onsdr.website':80
- 'vi###detail.com':80
- 'st#####inimierer.com':80
- 'la####ancahaya.com':80
- 'xo##vod.com':80
- 'po###tream.com':80
- 'wp###snag.com':80
- 'di######tiondesaveurs.com':80
- 'ba###ucks.com':80
- 'ro######ningservices.org':80
- 'ab####ble.website':80
- 'ho###ala.com':80
- 'sq##te.org':80
- '82##66.com':80
- 'bi###cim.xyz':80
TCP
HTTP GET requests
- http://www.ma####rect.co.uk/aekc/?A8##################################################################################################################
- http://www.xi####nwangdai.com/aekc/?A8##################################################################################################################
- http://www.0b###print.xyz/aekc/?A8##################################################################################################################
- http://www.fa###lthi.com/aekc/?A8##################################################################################################################
- http://www.so####onsdr.website/aekc/?A8##################################################################################################################
- http://www.vi###detail.com/aekc/?A8##################################################################################################################
- http://www.st#####inimierer.com/aekc/?A8##################################################################################################################
- http://www.la####ancahaya.com/aekc/?A8##################################################################################################################
- http://www.xo##vod.com/aekc/?A8##################################################################################################################
- http://www.po###tream.com/aekc/?A8##################################################################################################################
- http://www.wp###snag.com/aekc/?A8##################################################################################################################
- http://www.di######tiondesaveurs.com/aekc/?A8##################################################################################################################
- http://www.ba###ucks.com/aekc/?A8##################################################################################################################
- http://www.ro######ningservices.org/aekc/?A8##################################################################################################################
- http://www.ab####ble.website/aekc/?A8##################################################################################################################
- http://www.ho###ala.com/aekc/?A8##################################################################################################################
- http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080700.zip
- http://www.82##66.com/aekc/?A8##################################################################################################################
- http://www.bi###cim.xyz/aekc/?A8##################################################################################################################
UDP
- DNS ASK ma####rect.co.uk
- DNS ASK xi####nwangdai.com
- DNS ASK 0b###print.xyz
- DNS ASK fa###lthi.com
- DNS ASK so####onsdr.website
- DNS ASK vi###detail.com
- DNS ASK st#####inimierer.com
- DNS ASK la####ancahaya.com
- DNS ASK po###tream.com
- DNS ASK 82##66.com
- DNS ASK wp###snag.com
- DNS ASK di######tiondesaveurs.com
- DNS ASK ba###ucks.com
- DNS ASK ro######ningservices.org
- DNS ASK ab####ble.website
- DNS ASK ho###ala.com
- DNS ASK lu####erra.online
- DNS ASK sq##te.org
- DNS ASK xo##vod.com
- DNS ASK bi###cim.xyz
Miscellaneous
Creates and executes the following
- '%WINDIR%\syswow64\cmd.exe' /C %tmp%\Client.exe A C' (with hidden window)
- '%WINDIR%\syswow64\notepad.exe' /Processid:{16380182-20EB-4378-B255-20755C4AC74F}' (with hidden window)
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\notepad.exe' /Processid:{16380182-20EB-4378-B255-20755C4AC74F}
- '%WINDIR%\syswow64\control.exe'
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
