Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
Изменения в файловой системе
Создает следующие файлы
- C:\king\svchost.exe
- %TEMP%\i-wlbg76.cmdline
- %TEMP%\i-wlbg76.out
- %TEMP%\vbc475b.tmp
- %TEMP%\res476c.tmp
- C:\msocache.exe
- C:\far2.exe
- %TEMP%\i-wlbg76.0.vb
- %TEMP%\fasolkpu.0.vb
- %TEMP%\vbc4d76.tmp
- %TEMP%\res4d86.tmp
- C:\perflogs.exe
- %TEMP%\ag1j3ugg.0.vb
- %TEMP%\ag1j3ugg.cmdline
- %TEMP%\fasolkpu.cmdline
- %TEMP%\fasolkpu.out
- %TEMP%\res40e4.tmp
- %TEMP%\vbc40d3.tmp
- %TEMP%\14g11b1u.out
- %TEMP%\db9b81yx.0.vb
- %TEMP%\db9b81yx.cmdline
- %TEMP%\db9b81yx.out
- %TEMP%\vbc3376.tmp
- %TEMP%\res3377.tmp
- C:\$recycle.bin.exe
- %PROGRAMDATA%\king\vwppqcugik.ico
- %TEMP%\ufa9aipq.0.vb
- %TEMP%\ufa9aipq.out
- %TEMP%\vbc3a8a.tmp
- %TEMP%\res3a9b.tmp
- C:\documents and settings.exe
- %TEMP%\14g11b1u.0.vb
- %TEMP%\14g11b1u.cmdline
- %TEMP%\ufa9aipq.cmdline
- %TEMP%\ag1j3ugg.out
- %APPDATA%\svchost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- C:\king\svchost.exe
Удаляет следующие файлы
- %TEMP%\res3377.tmp
- %TEMP%\fasolkpu.0.vb
- %TEMP%\fasolkpu.cmdline
- %TEMP%\fasolkpu.out
- %TEMP%\vbc4d76.tmp
- %TEMP%\res4d86.tmp
- %TEMP%\i-wlbg76.out
- %TEMP%\i-wlbg76.0.vb
- %TEMP%\i-wlbg76.cmdline
- %TEMP%\vbc475b.tmp
- %TEMP%\res476c.tmp
- %TEMP%\14g11b1u.0.vb
- %TEMP%\ag1j3ugg.0.vb
- %TEMP%\14g11b1u.cmdline
- %TEMP%\vbc40d3.tmp
- %TEMP%\res40e4.tmp
- %TEMP%\ufa9aipq.0.vb
- %TEMP%\ufa9aipq.out
- %TEMP%\ufa9aipq.cmdline
- %TEMP%\vbc3a8a.tmp
- %TEMP%\res3a9b.tmp
- %TEMP%\db9b81yx.0.vb
- %TEMP%\db9b81yx.cmdline
- %TEMP%\db9b81yx.out
- %TEMP%\vbc3376.tmp
- %TEMP%\14g11b1u.out
- %TEMP%\ag1j3ugg.cmdline
Сетевая активность
Подключается к
- 'ro#####ne1190.ddns.net':333
UDP
- DNS ASK ro#####ne1190.ddns.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\svchost.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\db9b81yx.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tfykblrr.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD082.tmp" "%TEMP%\vbcD071.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\taqjxwwl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCB90.tmp" "%TEMP%\vbcCB7F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hbcljd3m.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC883.tmp" "%TEMP%\vbcC872.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zmem96sv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD2E3.tmp" "%TEMP%\vbcD2E2.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ag1j3ugg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fasolkpu.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES476C.tmp" "%TEMP%\vbc475B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\i-wlbg76.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES40E4.tmp" "%TEMP%\vbc40D3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\14g11b1u.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3A9B.tmp" "%TEMP%\vbc3A8A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ufa9aipq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3377.tmp" "%TEMP%\vbc3376.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4D86.tmp" "%TEMP%\vbc4D76.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\akt1h1x0.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\db9b81yx.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tfykblrr.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD082.tmp" "%TEMP%\vbcD071.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\taqjxwwl.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCB90.tmp" "%TEMP%\vbcCB7F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hbcljd3m.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC883.tmp" "%TEMP%\vbcC872.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zmem96sv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ag1j3ugg.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4D86.tmp" "%TEMP%\vbc4D76.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fasolkpu.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES476C.tmp" "%TEMP%\vbc475B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\i-wlbg76.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES40E4.tmp" "%TEMP%\vbc40D3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\14g11b1u.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3A9B.tmp" "%TEMP%\vbc3A8A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ufa9aipq.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3377.tmp" "%TEMP%\vbc3376.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD2E3.tmp" "%TEMP%\vbcD2E2.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\akt1h1x0.cmdline"
