Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0jom2ttg.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\twsf5jsm.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\aspnet_compiler.exe'
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fbb2fkqe.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\aspnet_compiler.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\vbc3.tmp
- %TEMP%\RES4.tmp
- %TEMP%\0jom2ttg.out
- %TEMP%\0jom2ttg.0.vb
- %TEMP%\0jom2ttg.cmdline
- %TEMP%\twsf5jsm.cmdline
- %TEMP%\twsf5jsm.out
- %TEMP%\twsf5jsm.0.vb
- C:\boot.ini.exe
- C:\ProgramData\RevengeRAT\CONFIG.ico
- %TEMP%\fbb2fkqe.0.vb
- %TEMP%\fbb2fkqe.cmdline
- C:\ProgramData\RevengeRAT\AUTOEXEC.ico
- %TEMP%\mdtjWSTUKI.txt
- C:\RevengeRAT\Client.exe
- C:\AUTOEXEC.BAT.exe
- C:\ProgramData\RevengeRAT\boot.ico
- %TEMP%\RES2.tmp
- %TEMP%\fbb2fkqe.out
- %TEMP%\vbc1.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\RevengeRAT\Client.exe
Удаляет следующие файлы:
- %TEMP%\vbc3.tmp
- %TEMP%\RES4.tmp
- %TEMP%\0jom2ttg.out
- %TEMP%\0jom2ttg.0.vb
- %TEMP%\0jom2ttg.cmdline
- %TEMP%\vbc1.tmp
- %TEMP%\RES2.tmp
- %TEMP%\fbb2fkqe.0.vb
- %TEMP%\fbb2fkqe.cmdline
- %TEMP%\fbb2fkqe.out
Сетевая активность:
Подключается к:
- 'al####haal.ddns.net':1986
UDP:
- DNS ASK al####haal.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
