Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'JRSD1NEPT6U' = '%ProgramFiles(x86)%\Al4nhgb\mfcbbc.exe'
Malicious functions
Creates and executes the following
- '' (downloaded from the Internet)
Creates and executes the following (exploit)
- 'C:\users\public\vbc.exe'
Injects code into
the following system processes:
- %WINDIR%\explorer.exe
Modifies file system
Creates the following files
- C:\users\public\vbc.exe
- %TEMP%\lzkkyql9d3j5aj64d97
- %TEMP%\ypjjw
- %TEMP%\dtclgnko.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\al4nhgb\mfcbbc.exe
- %ProgramFiles(x86)%\al4nhgb\mfcbbc.exe
Deletes the following files
- %TEMP%\dtclgnko.exe
Network activity
Connects to
- '10#.#72.76.193':80
- 'ma######enihancoaching.com':80
- 'ca###gesa.com':80
- 'so####boete.quest':80
- 'fl####gorattan.com':80
- 'ch####jingming.com':80
- 'we######hatsstudyabroad.com':80
- 'la#####ifeplanner.com':80
- 'gr###growth.biz':80
- 'ga######-distributors.xyz':80
- 'fo#####nsmilford.online':80
- 'fu###echs.xyz':80
- 'xn#######ionmyopie-aix-cwb.com':80
- 'pl###-click.com':80
- 'bl###nest.com':80
- 'sa###amai.com':80
TCP
HTTP GET requests
- http://10#.#72.76.193/lead/winlogon.exe
- http://www.ca###gesa.com/w6ot/?EJ###################################################################################################
- http://www.sa###amai.com/w6ot/?EJ###################################################################################################
- http://www.so####boete.quest/w6ot/?EJ###################################################################################################
- http://www.bl###nest.com/w6ot/?EJ###################################################################################################
- http://www.pl###-click.com/w6ot/?EJ###################################################################################
- http://www.xn#######ionmyopie-aix-cwb.com/w6ot/?EJ#####################################################################################
- http://www.fu###echs.xyz/w6ot/?EJ###################################################################################
- http://www.fo#####nsmilford.online/w6ot/?EJ###################################################################################
- http://www.ga######-distributors.xyz/w6ot/?EJ###################################################################################
- http://www.gr###growth.biz/w6ot/?EJ###################################################################################
- http://www.la#####ifeplanner.com/w6ot/?EJ###################################################################################
- http://www.we######hatsstudyabroad.com/w6ot/?EJ###################################################################################
- http://www.ch####jingming.com/w6ot/?EJ###################################################################################
- http://www.fl####gorattan.com/w6ot/?EJ###################################################################################
- http://www.so####boete.quest/w6ot/?EJ###################################################################################
- http://www.ca###gesa.com/w6ot/?EJ###################################################################################
- http://www.ma######enihancoaching.com/w6ot/?EJ###################################################################################
- http://www.we######hatsstudyabroad.com/w6ot/?EJ#################################################################################################
- http://www.la#####ifeplanner.com/w6ot/?EJ#################################################################################################
UDP
- DNS ASK ma######enihancoaching.com
- DNS ASK pl###-click.com
- DNS ASK 76##41.com
- DNS ASK xn#######ionmyopie-aix-cwb.com
- DNS ASK fu###echs.xyz
- DNS ASK dy####-coaching.com
- DNS ASK fo#####nsmilford.online
- DNS ASK mo####-elementz.com
- DNS ASK ga######-distributors.xyz
- DNS ASK gr###growth.biz
- DNS ASK la#####ifeplanner.com
- DNS ASK we######hatsstudyabroad.com
- DNS ASK ch####jingming.com
- DNS ASK es####lafiamma.biz
- DNS ASK fl####gorattan.com
- DNS ASK es##6.com
- DNS ASK so####boete.quest
- DNS ASK ca###gesa.com
- DNS ASK bl###nest.com
- DNS ASK sa###amai.com
Miscellaneous
Creates and executes the following
- '%TEMP%\dtclgnko.exe' %TEMP%\ypjjw
- '%ProgramFiles(x86)%\al4nhgb\mfcbbc.exe'
Executes the following
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cscript.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\dtclgnko.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
