Technical Information
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\qipecydxe.ls
- %TEMP%\mhayq.nyb
- %TEMP%\ulbuyb.exe
- %TEMP%\d854.tmp
- %TEMP%\d8d2.tmp
- %TEMP%\21c2.tmp
- %TEMP%\u2_lczex.zip
- %TEMP%\sqlite3.def
- %TEMP%\sqlite3.dll
- %TEMP%\292v1k29l
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Network activity
Connects to
- '19#.#27.132.46':80
- 'co##za.dev':80
- '61##b.com':80
- 'na####sboutique.com':80
- 'ne###ali.rest':80
- 'th#####niablemom.com':80
- 'ke###iary.xyz':80
- 'sa#####petacular.online':80
- 'to#####financials.net':80
- 'ta###mina.info':80
- 'ke###leaje.bar':80
- 'ro######zempirerealty.com':80
- 'pu###gewijs.com':80
- 'sq##te.org':80
- 'so###stk.org':80
- 'am####ndal09.info':80
- 've#####machinesltd.com':80
TCP
HTTP GET requests
- http://19#.#27.132.46/pap1/pap1.exe
- http://www.yu###its.buzz/tsuz/?_n################################################################################################################################
- http://www.co##za.dev/tsuz/?_n################################################################################################################################
- http://www.61##b.com/tsuz/?_n################################################################################################################################
- http://www.na####sboutique.com/tsuz/?_n################################################################################################################################
- http://www.ne###ali.rest/tsuz/?_n################################################################################################################################
- http://www.th#####niablemom.com/tsuz/?_n################################################################################################################################
- http://www.ke###iary.xyz/tsuz/?_n################################################################################################################################
- http://www.to#####financials.net/tsuz/?_n################################################################################################################################
- http://www.am####ndal09.info/tsuz/?_n################################################################################################################################
- http://www.ta###mina.info/tsuz/?_n################################################################################################################################
- http://www.ke###leaje.bar/tsuz/?_n################################################################################################################################
- http://www.ro######zempirerealty.com/tsuz/?_n################################################################################################################################
- http://www.pu###gewijs.com/tsuz/?_n################################################################################################################################
- http://www.sq##te.org/2022/sqlite-dll-win32-x86-3380000.zip
- http://www.so###stk.org/tsuz/?_n################################################################################################################################
- http://www.sa#####petacular.online/tsuz/?_n################################################################################################################################
- http://www.ve#####machinesltd.com/tsuz/?_n################################################################################################################################
UDP
- DNS ASK so###stk.org
- DNS ASK yu###its.buzz
- DNS ASK co##za.dev
- DNS ASK 61##b.com
- DNS ASK na####sboutique.com
- DNS ASK ne###ali.rest
- DNS ASK th#####niablemom.com
- DNS ASK sa#####petacular.online
- DNS ASK ke###iary.xyz
- DNS ASK am####ndal09.info
- DNS ASK ta###mina.info
- DNS ASK ke###leaje.bar
- DNS ASK ro######zempirerealty.com
- DNS ASK pu###gewijs.com
- DNS ASK sq##te.org
- DNS ASK to#####financials.net
- DNS ASK ve#####machinesltd.com
Miscellaneous
Creates and executes the following
- '%TEMP%\ulbuyb.exe'
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\raserver.exe'
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
