Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\revengerat\chrome.exe
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\delete.avi.exe
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\klcivgp.txt
- %TEMP%\vbcccfd077db1e343a187fb92f2a4b7754.tmp
- %TEMP%\xmvk2wi3.out
- %TEMP%\xmvk2wi3.cmdline
- %TEMP%\xmvk2wi3.0.vb
- C:\recovery.exe
- %TEMP%\resefff.tmp
- %TEMP%\vbc353f426e89254c9bb07b4ad4576f28b.tmp
- %TEMP%\2vggnq1w.out
- %TEMP%\resf500.tmp
- %TEMP%\2vggnq1w.cmdline
- %TEMP%\2vggnq1w.0.vb
- %ProgramFiles%.exe
- %TEMP%\resea91.tmp
- %TEMP%\vbc7c708fe8791449d8bb5ccc5095d545a0.tmp
- %TEMP%\vbcf4c76f35e6294072a843efe6fb5f5b90.tmp
- %TEMP%\vbcb85e24f5d13844a085d5f675a19bfa1e.tmp
- %TEMP%\vbc1f87802ad2f46f8a3a92e83f0dcfb1.tmp
- C:\totalcmd.exe
- %TEMP%\3t0kkez2.0.vb
- %PROGRAMDATA%\revengerat\join.ico
- %TEMP%\res666.tmp
- %TEMP%\vbc1d9587841d0740bd991a2713433f8d68.tmp
- %TEMP%\vbcd688f5a7e79643c6a2e9f796581fc80.tmp
- %TEMP%\2rwwassy.out
- %TEMP%\2rwwassy.cmdline
- %TEMP%\vynfyldz.out
- %TEMP%\vbc799f91635c874900b76ed44ec958aac4.tmp
- D:\$recycle.bin.exe
- %TEMP%\resf9b4.tmp
- %TEMP%\vbc457d500afcff45fa87c6561acd62ff11.tmp
- %TEMP%\vbc8f9cc8affa9439195347b831b897e8b.tmp
- %TEMP%\ycvuk1gh.out
- %TEMP%\ycvuk1gh.cmdline
- %TEMP%\ycvuk1gh.0.vb
- %PROGRAMDATA%\revengerat\delete.ico
- D:\revengerat\chrome.exe
- %TEMP%\vynfyldz.cmdline
- %TEMP%\vynfyldz.0.vb
- C:\perflogs.exe
- %TEMP%\resc9da.tmp
- %TEMP%\resd0cf.tmp
- %TEMP%\vbc96a368c18e4f4ff8ac64f2326699d287.tmp
- %TEMP%\vbc948cfd695a7a4b77bf6eb738f23280b0.tmp
- %TEMP%\xg1sk2xo.out
- %TEMP%\xg1sk2xo.cmdline
- %TEMP%\xg1sk2xo.0.vb
- %TEMP%\3t0kkez2.cmdline
- %TEMP%\htczqgmk.0.vb
- %TEMP%\vbcf2e5cc6135ac42c89b7181213d817c12.tmp
- %TEMP%\vbce86aaad210c2429b902146e381823940.tmp
- %TEMP%\5uqowgxi.out
- %TEMP%\5uqowgxi.cmdline
- %TEMP%\5uqowgxi.0.vb
- %PROGRAMDATA%\revengerat\vazzkfs.ico
- C:\revengerat\chrome.exe
- C:\$recycle.bin.exe
- %TEMP%\2rwwassy.0.vb
- %TEMP%\htczqgmk.cmdline
- %TEMP%\vbcb88d9660afdf46e99766633f8263fa2b.tmp
- %TEMP%\htczqgmk.out
- %TEMP%\rese428.tmp
- %TEMP%\vbc5d3aa483f0f84f538640c38cd8be28.tmp
- %TEMP%\vbcb7dde4bbb828469d8437d251cc80fd73.tmp
- %TEMP%\zcy04p00.out
- %TEMP%\zcy04p00.cmdline
- %TEMP%\zcy04p00.0.vb
- %TEMP%\vbc99000158e5c4bc399523f3dcd656b43.tmp
- C:\msocache.exe
- C:\documents and settings.exe
- %TEMP%\vbc77a5cc119e9544188586dff30119d83.tmp
- %TEMP%\pajdmpcm.out
- %TEMP%\pajdmpcm.cmdline
- %TEMP%\pajdmpcm.0.vb
- C:\far2.exe
- %TEMP%\resd6f9.tmp
- %TEMP%\resdcf4.tmp
- %TEMP%\3t0kkez2.out
Присваивает атрибут 'скрытый' для следующих файлов
- C:\revengerat\chrome.exe
- D:\revengerat\chrome.exe
- <Имя диска съемного носителя>:\revengerat\chrome.exe
Удаляет следующие файлы
- %TEMP%\resc9da.tmp
- %TEMP%\vynfyldz.cmdline
- %TEMP%\vynfyldz.out
- %TEMP%\vynfyldz.0.vb
- %TEMP%\resefff.tmp
- %TEMP%\vbc353f426e89254c9bb07b4ad4576f28b.tmp
- %TEMP%\vbcb85e24f5d13844a085d5f675a19bfa1e.tmp
- %TEMP%\2vggnq1w.cmdline
- %TEMP%\2vggnq1w.0.vb
- %TEMP%\2vggnq1w.out
- %TEMP%\resf500.tmp
- %TEMP%\vbc799f91635c874900b76ed44ec958aac4.tmp
- %TEMP%\vbcccfd077db1e343a187fb92f2a4b7754.tmp
- %TEMP%\xmvk2wi3.0.vb
- %TEMP%\xmvk2wi3.out
- %TEMP%\3t0kkez2.cmdline
- %TEMP%\resf9b4.tmp
- %TEMP%\vbc457d500afcff45fa87c6561acd62ff11.tmp
- %TEMP%\vbc8f9cc8affa9439195347b831b897e8b.tmp
- %TEMP%\ycvuk1gh.cmdline
- %TEMP%\ycvuk1gh.0.vb
- %TEMP%\ycvuk1gh.out
- %TEMP%\res666.tmp
- %TEMP%\vbc1d9587841d0740bd991a2713433f8d68.tmp
- %TEMP%\vbcd688f5a7e79643c6a2e9f796581fc80.tmp
- %TEMP%\2rwwassy.cmdline
- %TEMP%\2rwwassy.out
- %TEMP%\2rwwassy.0.vb
- %TEMP%\3t0kkez2.0.vb
- %TEMP%\vbcf4c76f35e6294072a843efe6fb5f5b90.tmp
- %TEMP%\xmvk2wi3.cmdline
- %TEMP%\vbc7c708fe8791449d8bb5ccc5095d545a0.tmp
- %TEMP%\vbc99000158e5c4bc399523f3dcd656b43.tmp
- %TEMP%\vbcf2e5cc6135ac42c89b7181213d817c12.tmp
- %TEMP%\vbce86aaad210c2429b902146e381823940.tmp
- %TEMP%\5uqowgxi.0.vb
- %TEMP%\5uqowgxi.out
- %TEMP%\5uqowgxi.cmdline
- %TEMP%\resd0cf.tmp
- %TEMP%\vbc96a368c18e4f4ff8ac64f2326699d287.tmp
- %TEMP%\vbc948cfd695a7a4b77bf6eb738f23280b0.tmp
- %TEMP%\xg1sk2xo.0.vb
- %TEMP%\xg1sk2xo.out
- %TEMP%\xg1sk2xo.cmdline
- %TEMP%\resd6f9.tmp
- %TEMP%\vbcb88d9660afdf46e99766633f8263fa2b.tmp
- %TEMP%\htczqgmk.0.vb
- %TEMP%\zcy04p00.0.vb
- %TEMP%\htczqgmk.out
- %TEMP%\htczqgmk.cmdline
- %TEMP%\resdcf4.tmp
- %TEMP%\vbc1f87802ad2f46f8a3a92e83f0dcfb1.tmp
- %TEMP%\vbc77a5cc119e9544188586dff30119d83.tmp
- %TEMP%\pajdmpcm.cmdline
- %TEMP%\pajdmpcm.0.vb
- %TEMP%\pajdmpcm.out
- %TEMP%\rese428.tmp
- %TEMP%\vbc5d3aa483f0f84f538640c38cd8be28.tmp
- %TEMP%\vbcb7dde4bbb828469d8437d251cc80fd73.tmp
- %TEMP%\zcy04p00.out
- %TEMP%\zcy04p00.cmdline
- %TEMP%\resea91.tmp
- %TEMP%\3t0kkez2.out
Сетевая активность
Подключается к
- 'os####015.ddns.net':5550
UDP
- DNS ASK os####015.ddns.net
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\5uqowgxi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\3t0kkez2.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES666.tmp" "%TEMP%\vbc1D9587841D0740BD991A2713433F8D68.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\2rwwassy.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF9B4.tmp" "%TEMP%\vbc457D500AFCFF45FA87C6561ACD62FF11.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ycvuk1gh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF500.tmp" "%TEMP%\vbc799F91635C874900B76ED44EC958AAC4.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\xmvk2wi3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEFFF.tmp" "%TEMP%\vbc353F426E89254C9BB07B4AD4576F28B.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\2vggnq1w.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES117D.tmp" "%TEMP%\vbc1DA9DECC84CA4093A141A2BD4E6797F5.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEA91.tmp" "%TEMP%\vbc7C708FE8791449D8BB5CCC5095D545A0.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE428.tmp" "%TEMP%\vbc5D3AA483F0F84F538640C38CD8BE28.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\zcy04p00.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDCF4.tmp" "%TEMP%\vbc1F87802AD2F46F8A3A92E83F0DCFB1.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\pajdmpcm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD6F9.tmp" "%TEMP%\vbcB88D9660AFDF46E99766633F8263FA2B.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\htczqgmk.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD0CF.tmp" "%TEMP%\vbc96A368C18E4F4FF8AC64F2326699D287.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\xg1sk2xo.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC9DA.tmp" "%TEMP%\vbcF2E5CC6135AC42C89B7181213D817C12.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\vynfyldz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\nhkhoeke.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\3t0kkez2.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES666.tmp" "%TEMP%\vbc1D9587841D0740BD991A2713433F8D68.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\2rwwassy.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF9B4.tmp" "%TEMP%\vbc457D500AFCFF45FA87C6561ACD62FF11.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ycvuk1gh.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF500.tmp" "%TEMP%\vbc799F91635C874900B76ED44EC958AAC4.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\xmvk2wi3.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEFFF.tmp" "%TEMP%\vbc353F426E89254C9BB07B4AD4576F28B.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\2vggnq1w.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEA91.tmp" "%TEMP%\vbc7C708FE8791449D8BB5CCC5095D545A0.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\vynfyldz.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE428.tmp" "%TEMP%\vbc5D3AA483F0F84F538640C38CD8BE28.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\zcy04p00.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDCF4.tmp" "%TEMP%\vbc1F87802AD2F46F8A3A92E83F0DCFB1.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\pajdmpcm.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD6F9.tmp" "%TEMP%\vbcB88D9660AFDF46E99766633F8263FA2B.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\htczqgmk.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD0CF.tmp" "%TEMP%\vbc96A368C18E4F4FF8AC64F2326699D287.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\xg1sk2xo.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC9DA.tmp" "%TEMP%\vbcF2E5CC6135AC42C89B7181213D817C12.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\5uqowgxi.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES117D.tmp" "%TEMP%\vbc1DA9DECC84CA4093A141A2BD4E6797F5.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\nhkhoeke.cmdline"
