Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\revengerat\chrome.exe
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\correct.avi.exe
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\join.avi.exe
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\delete.avi.exe
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\dashborder_192.bmp
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dxggzhx.txt
- %PROGRAMDATA%\revengerat\correct.ico
- D:\$recycle.bin.exe
- %TEMP%\res4e7f.tmp
- %TEMP%\vbc3e74ea9721ea442dafb6de713cbf51f1.tmp
- %TEMP%\vbca6116e02fdc64e51a9da837ceb277952.tmp
- %TEMP%\u0yuhmw5.out
- %TEMP%\u0yuhmw5.cmdline
- %TEMP%\u0yuhmw5.0.vb
- D:\revengerat\chrome.exe
- %TEMP%\res4a69.tmp
- %TEMP%\02hc3r2e.cmdline
- %TEMP%\vbceb9eae9c454f4a7fbe3930b7242876d1.tmp
- %TEMP%\vbce08ee490c7224fb09f7aaec35836b88c.tmp
- %TEMP%\ifkivdu0.out
- %TEMP%\ifkivdu0.cmdline
- %TEMP%\ifkivdu0.0.vb
- C:\recovery.exe
- %TEMP%\res478a.tmp
- %TEMP%\vbc5ec9f6236574230b8926baeefe490db.tmp
- C:\totalcmd.exe
- %TEMP%\vbcc7001fd3c48244afa55e12a1ca329e9.tmp
- %TEMP%\02hc3r2e.out
- %TEMP%\nofhn5el.out
- %TEMP%\nofhn5el.cmdline
- %TEMP%\nofhn5el.0.vb
- %PROGRAMDATA%\revengerat\split.ico
- %TEMP%\res641b.tmp
- %TEMP%\vbc718165e9760e45a98eedcc6e818a5cac.tmp
- %TEMP%\vbc1794f67e375945088a5bb8c74d206ede.tmp
- %TEMP%\rqzztsei.out
- %TEMP%\rqzztsei.cmdline
- %TEMP%\vbc9940c7fbabe34e09b23ed8a87defbab.tmp
- %TEMP%\02hc3r2e.0.vb
- %TEMP%\res60cf.tmp
- %TEMP%\vbc588733854a9a4f3f974e233168a7dc99.tmp
- %TEMP%\vbc538ad0fbd3b04961b145f5ac2f7ee06e.tmp
- %TEMP%\nirwoejg.out
- %TEMP%\nirwoejg.cmdline
- %TEMP%\nirwoejg.0.vb
- %PROGRAMDATA%\revengerat\join.ico
- %TEMP%\res5304.tmp
- %TEMP%\vbc637438621890410b98dc5c652ab624b2.tmp
- %PROGRAMDATA%\revengerat\delete.ico
- %TEMP%\vbcfb9f2db8d7f84ff0808049a24c9020a6.tmp
- %TEMP%\m1auj0ga.out
- %TEMP%\m1auj0ga.cmdline
- %TEMP%\m1auj0ga.0.vb
- %TEMP%\g4hf5mvb.0.vb
- %TEMP%\h4bugm0b.out
- %TEMP%\h4bugm0b.cmdline
- %TEMP%\h4bugm0b.0.vb
- C:\documents and settings.exe
- %TEMP%\res37ac.tmp
- %TEMP%\vbccc5a2865500a4227b0cd57849b48d6b9.tmp
- %TEMP%\vbcc4f739bd25e4497ea01c4b8375138cf.tmp
- %TEMP%\g4hf5mvb.out
- %TEMP%\vbc98a726366dfc4c6f8c7cf55ab3be90b3.tmp
- %TEMP%\vbc9e0e64ccce254ab8b4577eed4a52e26a.tmp
- C:\$recycle.bin.exe
- %TEMP%\res347f.tmp
- %TEMP%\vbcf864be61ed0246dca915f472b1db23.tmp
- %TEMP%\vbcecbfa77b87974e64b3e2860e0cf39e.tmp
- %TEMP%\dl0fcja2.out
- %TEMP%\dl0fcja2.cmdline
- %TEMP%\dl0fcja2.0.vb
- %PROGRAMDATA%\revengerat\bqqnlcgrf.ico
- C:\revengerat\chrome.exe
- %TEMP%\g4hf5mvb.cmdline
- %TEMP%\rqzztsei.0.vb
- %TEMP%\res3b07.tmp
- %TEMP%\y1qbxkrl.cmdline
- C:\far2.exe
- %ProgramFiles%.exe
- %TEMP%\res443e.tmp
- %TEMP%\vbceb9ad35e4e294aa7946a129d8e9caee6.tmp
- %TEMP%\vbc97e2fb9fd143492aad25a81f397adca.tmp
- %TEMP%\dijbkd21.out
- %TEMP%\dijbkd21.cmdline
- %TEMP%\dijbkd21.0.vb
- C:\perflogs.exe
- %TEMP%\y1qbxkrl.0.vb
- %TEMP%\res4112.tmp
- %TEMP%\vbc8be78bde4104e93a8d922cc234b215f.tmp
- %TEMP%\bhd0tgaz.out
- %TEMP%\bhd0tgaz.cmdline
- %TEMP%\bhd0tgaz.0.vb
- C:\msocache.exe
- %TEMP%\res3e24.tmp
- %TEMP%\vbcf7a9f0ea3f5b45dcb2b6504313fee1aa.tmp
- %TEMP%\vbc3f82daf0cd0a4256bd7a94f6a6953d5d.tmp
- %TEMP%\y1qbxkrl.out
- %TEMP%\vbcabab7c0613bd422ea5adbfef16ea2393.tmp
- %TEMP%\vbc64dbbc05250f4ac3bce96249e8232c55.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- C:\revengerat\chrome.exe
- D:\revengerat\chrome.exe
- <Имя диска съемного носителя>:\revengerat\chrome.exe
Удаляет следующие файлы
- %TEMP%\res347f.tmp
- %TEMP%\res5304.tmp
- %TEMP%\u0yuhmw5.out
- %TEMP%\u0yuhmw5.cmdline
- %TEMP%\u0yuhmw5.0.vb
- %TEMP%\vbca6116e02fdc64e51a9da837ceb277952.tmp
- %TEMP%\vbc3e74ea9721ea442dafb6de713cbf51f1.tmp
- %TEMP%\res4e7f.tmp
- %TEMP%\ifkivdu0.0.vb
- %TEMP%\ifkivdu0.out
- %TEMP%\ifkivdu0.cmdline
- %TEMP%\vbce08ee490c7224fb09f7aaec35836b88c.tmp
- %TEMP%\vbceb9eae9c454f4a7fbe3930b7242876d1.tmp
- %TEMP%\res4a69.tmp
- %TEMP%\m1auj0ga.cmdline
- %TEMP%\m1auj0ga.out
- %TEMP%\vbc637438621890410b98dc5c652ab624b2.tmp
- %TEMP%\vbcfb9f2db8d7f84ff0808049a24c9020a6.tmp
- %TEMP%\02hc3r2e.cmdline
- %TEMP%\02hc3r2e.out
- %TEMP%\nofhn5el.cmdline
- %TEMP%\vbc98a726366dfc4c6f8c7cf55ab3be90b3.tmp
- %TEMP%\vbc64dbbc05250f4ac3bce96249e8232c55.tmp
- %TEMP%\rqzztsei.out
- %TEMP%\rqzztsei.cmdline
- %TEMP%\rqzztsei.0.vb
- %TEMP%\vbc1794f67e375945088a5bb8c74d206ede.tmp
- %TEMP%\res641b.tmp
- %TEMP%\vbc718165e9760e45a98eedcc6e818a5cac.tmp
- %TEMP%\nirwoejg.0.vb
- %TEMP%\nirwoejg.cmdline
- %TEMP%\nirwoejg.out
- %TEMP%\vbc538ad0fbd3b04961b145f5ac2f7ee06e.tmp
- %TEMP%\vbc588733854a9a4f3f974e233168a7dc99.tmp
- %TEMP%\res60cf.tmp
- %TEMP%\02hc3r2e.0.vb
- %TEMP%\nofhn5el.out
- %TEMP%\m1auj0ga.0.vb
- %TEMP%\vbc9940c7fbabe34e09b23ed8a87defbab.tmp
- %TEMP%\vbc5ec9f6236574230b8926baeefe490db.tmp
- %TEMP%\h4bugm0b.cmdline
- %TEMP%\vbc8be78bde4104e93a8d922cc234b215f.tmp
- %TEMP%\vbc9e0e64ccce254ab8b4577eed4a52e26a.tmp
- %TEMP%\res3b07.tmp
- %TEMP%\g4hf5mvb.cmdline
- %TEMP%\g4hf5mvb.0.vb
- %TEMP%\g4hf5mvb.out
- %TEMP%\vbcc4f739bd25e4497ea01c4b8375138cf.tmp
- %TEMP%\vbccc5a2865500a4227b0cd57849b48d6b9.tmp
- %TEMP%\res37ac.tmp
- %TEMP%\dl0fcja2.out
- %TEMP%\dl0fcja2.cmdline
- %TEMP%\dl0fcja2.0.vb
- %TEMP%\vbcecbfa77b87974e64b3e2860e0cf39e.tmp
- %TEMP%\vbcf864be61ed0246dca915f472b1db23.tmp
- %TEMP%\h4bugm0b.out
- %TEMP%\h4bugm0b.0.vb
- %TEMP%\res3e24.tmp
- %TEMP%\vbcf7a9f0ea3f5b45dcb2b6504313fee1aa.tmp
- %TEMP%\dijbkd21.cmdline
- %TEMP%\dijbkd21.0.vb
- %TEMP%\dijbkd21.out
- %TEMP%\vbc97e2fb9fd143492aad25a81f397adca.tmp
- %TEMP%\vbceb9ad35e4e294aa7946a129d8e9caee6.tmp
- %TEMP%\res443e.tmp
- %TEMP%\bhd0tgaz.0.vb
- %TEMP%\bhd0tgaz.cmdline
- %TEMP%\bhd0tgaz.out
- %TEMP%\vbcc7001fd3c48244afa55e12a1ca329e9.tmp
- %TEMP%\vbcabab7c0613bd422ea5adbfef16ea2393.tmp
- %TEMP%\res4112.tmp
- %TEMP%\y1qbxkrl.0.vb
- %TEMP%\y1qbxkrl.cmdline
- %TEMP%\y1qbxkrl.out
- %TEMP%\vbc3f82daf0cd0a4256bd7a94f6a6953d5d.tmp
- %TEMP%\res478a.tmp
- %TEMP%\nofhn5el.0.vb
Сетевая активность
Подключается к
- 'os####014.ddns.net':5550
UDP
- DNS ASK os####014.ddns.net
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dl0fcja2.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\nofhn5el.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES641B.tmp" "%TEMP%\vbc718165E9760E45A98EEDCC6E818A5CAC.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\rqzztsei.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60CF.tmp" "%TEMP%\vbc588733854A9A4F3F974E233168A7DC99.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\nirwoejg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5304.tmp" "%TEMP%\vbc637438621890410B98DC5C652AB624B2.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\02hc3r2e.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4E7F.tmp" "%TEMP%\vbc3E74EA9721EA442DAFB6DE713CBF51F1.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\u0yuhmw5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A69.tmp" "%TEMP%\vbcEB9EAE9C454F4A7FBE3930B7242876D1.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ifkivdu0.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES14CD.tmp" "%TEMP%\vbc64DBBC05250F4AC3BCE96249E8232C55.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES478A.tmp" "%TEMP%\vbc5EC9F6236574230B8926BAEEFE490DB.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES443E.tmp" "%TEMP%\vbcEB9AD35E4E294AA7946A129D8E9CAEE6.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dijbkd21.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4112.tmp" "%TEMP%\vbcABAB7C0613BD422EA5ADBFEF16EA2393.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\bhd0tgaz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E24.tmp" "%TEMP%\vbcF7A9F0EA3F5B45DCB2B6504313FEE1AA.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\y1qbxkrl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3B07.tmp" "%TEMP%\vbc9E0E64CCCE254AB8B4577EED4A52E26A.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\h4bugm0b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES37AC.tmp" "%TEMP%\vbcCC5A2865500A4227B0CD57849B48D6B9.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\g4hf5mvb.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES347F.tmp" "%TEMP%\vbcF864BE61ED0246DCA915F472B1DB23.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\m1auj0ga.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\kk00kmuh.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\nofhn5el.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES641B.tmp" "%TEMP%\vbc718165E9760E45A98EEDCC6E818A5CAC.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\rqzztsei.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60CF.tmp" "%TEMP%\vbc588733854A9A4F3F974E233168A7DC99.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\nirwoejg.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5304.tmp" "%TEMP%\vbc637438621890410B98DC5C652AB624B2.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\02hc3r2e.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4E7F.tmp" "%TEMP%\vbc3E74EA9721EA442DAFB6DE713CBF51F1.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\u0yuhmw5.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A69.tmp" "%TEMP%\vbcEB9EAE9C454F4A7FBE3930B7242876D1.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ifkivdu0.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES478A.tmp" "%TEMP%\vbc5EC9F6236574230B8926BAEEFE490DB.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\m1auj0ga.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES443E.tmp" "%TEMP%\vbcEB9AD35E4E294AA7946A129D8E9CAEE6.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dijbkd21.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4112.tmp" "%TEMP%\vbcABAB7C0613BD422EA5ADBFEF16EA2393.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\bhd0tgaz.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E24.tmp" "%TEMP%\vbcF7A9F0EA3F5B45DCB2B6504313FEE1AA.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\y1qbxkrl.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3B07.tmp" "%TEMP%\vbc9E0E64CCCE254AB8B4577EED4A52E26A.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\h4bugm0b.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES37AC.tmp" "%TEMP%\vbcCC5A2865500A4227B0CD57849B48D6B9.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\g4hf5mvb.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES347F.tmp" "%TEMP%\vbcF864BE61ED0246DCA915F472B1DB23.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\dl0fcja2.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES14CD.tmp" "%TEMP%\vbc64DBBC05250F4AC3BCE96249E8232C55.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\kk00kmuh.cmdline"
