Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- wqxyw.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\autochk.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %TEMP%\1zhm26vnbbb
- %TEMP%\iynxj
- %TEMP%\wqxyw.exe
Удаляет следующие файлы
- %TEMP%\wqxyw.exe
Сетевая активность
Подключается к
- '10#.#67.92.57':80
- 'ab###ashir.tech':80
- 'hu###aodg.com':80
- 'la#####ewendesign.com':80
- 'wa###shedm.com':80
- 'zu###ian1.com':80
- 'yo#####alstatistics.com':80
- 'ta#####withmarcus.com':80
- 'de###onnes.com':80
- 'ch####e-dean.com':80
- 'ne####dreams.com':80
- 'go###ank.com':80
- 'da###oart.com':80
TCP
Запросы HTTP GET
- http://10#.#67.92.57/365cloud/vbc.exe
- http://hu###aodg.com/arh2/?HZ#######################################################################################
- http://la#####ewendesign.com/arh2/?HZ#######################################################################################
- http://wa###shedm.com/arh2/?HZ#######################################################################################
- http://zu###ian1.com/arh2/?HZ#######################################################################################
- http://yo#####alstatistics.com/arh2/?HZ#######################################################################################
- http://ta#####withmarcus.com/arh2/?HZ#######################################################################################
- http://de###onnes.com/arh2/?HZ#######################################################################################
- http://ch####e-dean.com/arh2/?HZ#######################################################################################
- http://ne####dreams.com/arh2/?HZ#######################################################################################
- http://go###ank.com/arh2/?HZ#######################################################################################
- http://da###oart.com/arh2/?HZ#######################################################################################
- http://www.ne####dreams.com/arh2/?HZ####################################################################################
- http://www.hu###aodg.com/arh2/?HZ####################################################################################
- http://www.ab###ashir.tech/arh2/?HZ####################################################################################
UDP
- DNS ASK ab###ashir.tech
- DNS ASK hu###aodg.com
- DNS ASK ub#####ertyservices.com
- DNS ASK la#####ewendesign.com
- DNS ASK wa###shedm.com
- DNS ASK zu###ian1.com
- DNS ASK yo#####alstatistics.com
- DNS ASK ta#####withmarcus.com
- DNS ASK de###onnes.com
- DNS ASK ch####e-dean.com
- DNS ASK ne####dreams.com
- DNS ASK ch####ayouxuan.com
- DNS ASK hu###iren.xyz
- DNS ASK go###ank.com
- DNS ASK da###oart.com
Другое
Создает и запускает на исполнение
- '%TEMP%\wqxyw.exe' %TEMP%\iynxj
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\wininit.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\wqxyw.exe"
