Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\revengerat\chrome.exe
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\archer.avi.exe
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\delete.avi.exe
- <Имя диска съемного носителя>:\000814251_video_01.avi
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\zvcgnhp.txt
- %TEMP%\gh5pxogx.0.vb
- D:\revengerat\chrome.exe
- C:\totalcmd.exe
- %TEMP%\resdd63.tmp
- %TEMP%\vbc7a6dfa9a6a254081952a7642332587f7.tmp
- %TEMP%\vbc437f450a5eb6481387b6a35e35a923bb.tmp
- %TEMP%\03kp5usj.out
- %TEMP%\03kp5usj.cmdline
- %TEMP%\03kp5usj.0.vb
- C:\recovery.exe
- %TEMP%\resd852.tmp
- %TEMP%\vbcf89ce6117d3946f297d7dad5fe3793c6.tmp
- %TEMP%\vbce57f60909f814adda74cea7d30d45dc9.tmp
- %TEMP%\eqqeuhf1.out
- %TEMP%\eqqeuhf1.cmdline
- %TEMP%\eqqeuhf1.0.vb
- %ProgramFiles%.exe
- %TEMP%\gh5pxogx.cmdline
- %TEMP%\gh5pxogx.out
- %TEMP%\vbc1dd51db1f8634988b056b4865429521b.tmp
- %TEMP%\vbc93db0212600044e49d5a7ab93351dac.tmp
- %TEMP%\dl5hfhcb.0.vb
- %PROGRAMDATA%\revengerat\000814251_video_01.ico
- %TEMP%\res7108.tmp
- %TEMP%\vbc9daa76b999b249a8931d3a3e019f193.tmp
- %TEMP%\vbc48017fef5f704e2eab158e18d785118.tmp
- %TEMP%\uy1mr4cw.out
- %TEMP%\uy1mr4cw.cmdline
- %TEMP%\uy1mr4cw.0.vb
- %TEMP%\rese9b7.tmp
- %PROGRAMDATA%\revengerat\delete.ico
- %TEMP%\vbcfaade31a8f344a69cda445cc8feea2b.tmp
- %TEMP%\vbc7a5575209ec5498a96f840d50a0e01b.tmp
- %TEMP%\rawphawl.out
- %TEMP%\rawphawl.cmdline
- %TEMP%\rawphawl.0.vb
- %PROGRAMDATA%\revengerat\archer.ico
- D:\$recycle.bin.exe
- %TEMP%\rese245.tmp
- %TEMP%\dl5hfhcb.cmdline
- %TEMP%\resd3ed.tmp
- %TEMP%\vbc76e53d1cc0b644ce88d92745f7a54538.tmp
- %TEMP%\vbcebfca8df9c974916bbc8d8d5afc084a4.tmp
- %TEMP%\iroxwijo.0.vb
- C:\documents and settings.exe
- %TEMP%\resb672.tmp
- %TEMP%\vbc3abc9bb18fda4182b7b7f0815ce435db.tmp
- %TEMP%\vbce41bf128d4a64c8da7849dd2dbfb252b.tmp
- %TEMP%\q2arulmg.out
- %TEMP%\q2arulmg.cmdline
- %TEMP%\q2arulmg.0.vb
- C:\$recycle.bin.exe
- %TEMP%\resb26b.tmp
- %TEMP%\vbc30cc82a6e2004980b38dc9e64f51b1.tmp
- %TEMP%\vbc97e38da6a54b4c9382921977c6164676.tmp
- %TEMP%\wyrtj5is.out
- %TEMP%\wyrtj5is.cmdline
- %TEMP%\wyrtj5is.0.vb
- %PROGRAMDATA%\revengerat\dembszxhqi.ico
- C:\revengerat\chrome.exe
- %TEMP%\iroxwijo.cmdline
- %TEMP%\iroxwijo.out
- %TEMP%\vbcb9a3c26a6bbe4ae8be69be65f71719c2.tmp
- %TEMP%\vbccffb0a2ddf6e488d9e7f7bbd5a6fbba5.tmp
- %TEMP%\gmxigpks.cmdline
- %TEMP%\gmxigpks.0.vb
- C:\perflogs.exe
- %TEMP%\resc9db.tmp
- %TEMP%\vbc676e28a6394140ef8acf19d57802b5e.tmp
- %TEMP%\vbce916f5d072364e7bbbc6f1f7c5d2c44.tmp
- %TEMP%\yplakmka.out
- %TEMP%\yplakmka.cmdline
- C:\msocache.exe
- %TEMP%\yplakmka.0.vb
- %TEMP%\resbf7b.tmp
- %TEMP%\vbc421f2b38523f44969afd654e52ce48.tmp
- %TEMP%\vbc13f6950a9c347379faaea3d221fbcf0.tmp
- %TEMP%\mbptiats.out
- %TEMP%\mbptiats.cmdline
- %TEMP%\mbptiats.0.vb
- C:\far2.exe
- %TEMP%\resbac8.tmp
- %TEMP%\gmxigpks.out
- %TEMP%\dl5hfhcb.out
Присваивает атрибут 'скрытый' для следующих файлов
- C:\revengerat\chrome.exe
- D:\revengerat\chrome.exe
- <Имя диска съемного носителя>:\revengerat\chrome.exe
Удаляет следующие файлы
- %TEMP%\resb26b.tmp
- %TEMP%\resd852.tmp
- %TEMP%\vbcf89ce6117d3946f297d7dad5fe3793c6.tmp
- %TEMP%\vbce57f60909f814adda74cea7d30d45dc9.tmp
- %TEMP%\eqqeuhf1.cmdline
- %TEMP%\eqqeuhf1.0.vb
- %TEMP%\eqqeuhf1.out
- %TEMP%\resdd63.tmp
- %TEMP%\vbc7a6dfa9a6a254081952a7642332587f7.tmp
- %TEMP%\vbc437f450a5eb6481387b6a35e35a923bb.tmp
- %TEMP%\03kp5usj.0.vb
- %TEMP%\03kp5usj.cmdline
- %TEMP%\03kp5usj.out
- %TEMP%\rese245.tmp
- %TEMP%\iroxwijo.cmdline
- %TEMP%\vbc93db0212600044e49d5a7ab93351dac.tmp
- %TEMP%\gh5pxogx.cmdline
- %TEMP%\gh5pxogx.out
- %TEMP%\gh5pxogx.0.vb
- %TEMP%\rese9b7.tmp
- %TEMP%\vbcfaade31a8f344a69cda445cc8feea2b.tmp
- %TEMP%\vbc7a5575209ec5498a96f840d50a0e01b.tmp
- %TEMP%\rawphawl.0.vb
- %TEMP%\rawphawl.cmdline
- %TEMP%\rawphawl.out
- %TEMP%\res7108.tmp
- %TEMP%\vbc9daa76b999b249a8931d3a3e019f193.tmp
- %TEMP%\vbc48017fef5f704e2eab158e18d785118.tmp
- %TEMP%\uy1mr4cw.cmdline
- %TEMP%\gmxigpks.0.vb
- %TEMP%\gmxigpks.out
- %TEMP%\gmxigpks.cmdline
- %TEMP%\vbcebfca8df9c974916bbc8d8d5afc084a4.tmp
- %TEMP%\vbc76e53d1cc0b644ce88d92745f7a54538.tmp
- %TEMP%\vbc97e38da6a54b4c9382921977c6164676.tmp
- %TEMP%\wyrtj5is.out
- %TEMP%\wyrtj5is.cmdline
- %TEMP%\wyrtj5is.0.vb
- %TEMP%\resb672.tmp
- %TEMP%\vbc3abc9bb18fda4182b7b7f0815ce435db.tmp
- %TEMP%\vbce41bf128d4a64c8da7849dd2dbfb252b.tmp
- %TEMP%\q2arulmg.out
- %TEMP%\q2arulmg.cmdline
- %TEMP%\q2arulmg.0.vb
- %TEMP%\resbac8.tmp
- %TEMP%\vbccffb0a2ddf6e488d9e7f7bbd5a6fbba5.tmp
- %TEMP%\vbcb9a3c26a6bbe4ae8be69be65f71719c2.tmp
- %TEMP%\uy1mr4cw.out
- %TEMP%\vbc1dd51db1f8634988b056b4865429521b.tmp
- %TEMP%\iroxwijo.out
- %TEMP%\resbf7b.tmp
- %TEMP%\vbc421f2b38523f44969afd654e52ce48.tmp
- %TEMP%\vbc13f6950a9c347379faaea3d221fbcf0.tmp
- %TEMP%\mbptiats.cmdline
- %TEMP%\mbptiats.0.vb
- %TEMP%\mbptiats.out
- %TEMP%\resc9db.tmp
- %TEMP%\vbc676e28a6394140ef8acf19d57802b5e.tmp
- %TEMP%\vbce916f5d072364e7bbbc6f1f7c5d2c44.tmp
- %TEMP%\yplakmka.out
- %TEMP%\yplakmka.cmdline
- %TEMP%\yplakmka.0.vb
- %TEMP%\resd3ed.tmp
- %TEMP%\vbc30cc82a6e2004980b38dc9e64f51b1.tmp
- %TEMP%\iroxwijo.0.vb
- %TEMP%\uy1mr4cw.0.vb
Сетевая активность
TCP
- 'os####015.ddns.net':5550
UDP
- DNS ASK os####015.ddns.net
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\wyrtj5is.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\uy1mr4cw.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9B7.tmp" "%TEMP%\vbcFAADE31A8F344A69CDA445CC8FEEA2B.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\rawphawl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE245.tmp" "%TEMP%\vbc93DB0212600044E49D5A7AB93351DAC.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\gh5pxogx.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDD63.tmp" "%TEMP%\vbc7A6DFA9A6A254081952A7642332587F7.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\03kp5usj.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD852.tmp" "%TEMP%\vbcF89CE6117D3946F297D7DAD5FE3793C6.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\eqqeuhf1.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7108.tmp" "%TEMP%\vbc9DAA76B999B249A8931D3A3E019F193.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD3ED.tmp" "%TEMP%\vbc76E53D1CC0B644CE88D92745F7A54538.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC9DB.tmp" "%TEMP%\vbc676E28A6394140EF8ACF19D57802B5E.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\yplakmka.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBF7B.tmp" "%TEMP%\vbc421F2B38523F44969AFD654E52CE48.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mbptiats.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBAC8.tmp" "%TEMP%\vbcCFFB0A2DDF6E488D9E7F7BBD5A6FBBA5.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\iroxwijo.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB672.tmp" "%TEMP%\vbc3ABC9BB18FDA4182B7B7F0815CE435DB.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\q2arulmg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB26B.tmp" "%TEMP%\vbc30CC82A6E2004980B38DC9E64F51B1.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\gmxigpks.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dl5hfhcb.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\uy1mr4cw.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9B7.tmp" "%TEMP%\vbcFAADE31A8F344A69CDA445CC8FEEA2B.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\rawphawl.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE245.tmp" "%TEMP%\vbc93DB0212600044E49D5A7AB93351DAC.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\gh5pxogx.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDD63.tmp" "%TEMP%\vbc7A6DFA9A6A254081952A7642332587F7.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\03kp5usj.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD852.tmp" "%TEMP%\vbcF89CE6117D3946F297D7DAD5FE3793C6.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\eqqeuhf1.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD3ED.tmp" "%TEMP%\vbc76E53D1CC0B644CE88D92745F7A54538.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\gmxigpks.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC9DB.tmp" "%TEMP%\vbc676E28A6394140EF8ACF19D57802B5E.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\yplakmka.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBF7B.tmp" "%TEMP%\vbc421F2B38523F44969AFD654E52CE48.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\mbptiats.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBAC8.tmp" "%TEMP%\vbcCFFB0A2DDF6E488D9E7F7BBD5A6FBBA5.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\iroxwijo.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB672.tmp" "%TEMP%\vbc3ABC9BB18FDA4182B7B7F0815CE435DB.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\q2arulmg.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB26B.tmp" "%TEMP%\vbc30CC82A6E2004980B38DC9E64F51B1.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\wyrtj5is.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7108.tmp" "%TEMP%\vbc9DAA76B999B249A8931D3A3E019F193.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dl5hfhcb.cmdline"
