Техническая информация
Изменения в файловой системе
Создает следующие файлы
- C:\bills\microsoft.exe
- %TEMP%\vbc69448548fa44f6ca52ec4f5f023e082.tmp
- %APPDATA%\google chrome.exe
- %TEMP%\rese407.tmp
- C:\perflogs.exe
- %TEMP%\liyjzbhk.0.vb
- %TEMP%\liyjzbhk.cmdline
- %TEMP%\liyjzbhk.out
- %TEMP%\vbcec0c10c096ec49839a5024fbed8acfaf.tmp
- %TEMP%\vbc750d16e9e0241aebaa7a291a7c3f7.tmp
- %TEMP%\resec70.tmp
- C:\program files.exe
- %TEMP%\t43aua5y.0.vb
- C:\documents and settings.exe
- %TEMP%\t43aua5y.cmdline
- %TEMP%\vbcdcf3780310714c0c817d878b6dd313.tmp
- %TEMP%\vbca4a44c2051a847adaac29745a13ad2.tmp
- %TEMP%\resf3b1.tmp
- C:\recovery.exe
- %TEMP%\ojejzvwn.0.vb
- %TEMP%\ojejzvwn.cmdline
- %TEMP%\ojejzvwn.out
- %TEMP%\vbcea51210edd9b44ab92439483c926986c.tmp
- %TEMP%\vbc82f007501f1c4945b5d86c1c94e8577f.tmp
- %TEMP%\resf95b.tmp
- C:\totalcmd.exe
- D:\bills\microsoft.exe
- %TEMP%\cjz2eakk.out
- %TEMP%\vbc97265e4ea57849a78727d285e43d5b14.tmp
- %TEMP%\cjz2eakk.cmdline
- %TEMP%\cjz2eakk.0.vb
- C:\msocache.exe
- %TEMP%\b4yqwyx1.0.vb
- %TEMP%\b4yqwyx1.cmdline
- %TEMP%\b4yqwyx1.out
- %TEMP%\vbc192fe7ac225949659078429cc748717b.tmp
- %TEMP%\vbc60dc9962931844f185157a894d17ed90.tmp
- %TEMP%\resc86d.tmp
- C:\$recycle.bin.exe
- %TEMP%\gbt0hm25.0.vb
- %TEMP%\gbt0hm25.cmdline
- %TEMP%\gbt0hm25.out
- %TEMP%\vbc42a67d11fc2a492aa1a86ffcfd3b83c.tmp
- %TEMP%\vbc97e4fe73ec014a47bf15ff558410754c.tmp
- %TEMP%\hivambfx.vbs
- %TEMP%\t43aua5y.out
- %TEMP%\rescf8e.tmp
- %TEMP%\b1ga5le3.cmdline
- %TEMP%\b1ga5le3.out
- %TEMP%\vbcf205bd81d5ab426583ae4f7acbdfbdd.tmp
- %TEMP%\vbcd317e2f8bc8b48c18e63e3b79a883ae0.tmp
- %TEMP%\resd632.tmp
- C:\far2.exe
- %TEMP%\lvxtwy2n.0.vb
- %TEMP%\lvxtwy2n.cmdline
- %TEMP%\lvxtwy2n.out
- %TEMP%\vbcf2b7f84299cd41969343aaf8781e43d6.tmp
- %TEMP%\vbcab1678d0774d4c12858e97942a85db2c.tmp
- %TEMP%\resdcf6.tmp
- %ALLUSERSPROFILE%\bills\onfueoci.ico
- %TEMP%\b1ga5le3.0.vb
- %TEMP%\hivambfxhivambfx.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- C:\bills\microsoft.exe
- D:\bills\microsoft.exe
Удаляет следующие файлы
- %TEMP%\resc86d.tmp
- %TEMP%\resec70.tmp
- %TEMP%\vbc750d16e9e0241aebaa7a291a7c3f7.tmp
- %TEMP%\vbcec0c10c096ec49839a5024fbed8acfaf.tmp
- %TEMP%\liyjzbhk.0.vb
- %TEMP%\liyjzbhk.out
- %TEMP%\liyjzbhk.cmdline
- %TEMP%\resf3b1.tmp
- %TEMP%\vbca4a44c2051a847adaac29745a13ad2.tmp
- %TEMP%\vbcdcf3780310714c0c817d878b6dd313.tmp
- %TEMP%\t43aua5y.0.vb
- %TEMP%\t43aua5y.out
- %TEMP%\t43aua5y.cmdline
- C:\$recycle.bin.exe
- C:\documents and settings.exe
- C:\far2.exe
- C:\msocache.exe
- C:\perflogs.exe
- C:\program files.exe
- C:\recovery.exe
- C:\bills\microsoft.exe
- %TEMP%\resf95b.tmp
- %TEMP%\vbc82f007501f1c4945b5d86c1c94e8577f.tmp
- %TEMP%\vbcea51210edd9b44ab92439483c926986c.tmp
- %TEMP%\ojejzvwn.out
- %TEMP%\ojejzvwn.0.vb
- %TEMP%\cjz2eakk.cmdline
- %TEMP%\ojejzvwn.cmdline
- %TEMP%\cjz2eakk.out
- %TEMP%\vbc97265e4ea57849a78727d285e43d5b14.tmp
- %TEMP%\vbc60dc9962931844f185157a894d17ed90.tmp
- %TEMP%\vbc192fe7ac225949659078429cc748717b.tmp
- %TEMP%\b4yqwyx1.out
- %TEMP%\b4yqwyx1.cmdline
- %TEMP%\b4yqwyx1.0.vb
- %TEMP%\rescf8e.tmp
- %TEMP%\vbc97e4fe73ec014a47bf15ff558410754c.tmp
- %TEMP%\vbc42a67d11fc2a492aa1a86ffcfd3b83c.tmp
- %TEMP%\gbt0hm25.cmdline
- %TEMP%\gbt0hm25.out
- %TEMP%\gbt0hm25.0.vb
- %TEMP%\resd632.tmp
- %TEMP%\vbcd317e2f8bc8b48c18e63e3b79a883ae0.tmp
- %TEMP%\vbcf205bd81d5ab426583ae4f7acbdfbdd.tmp
- %TEMP%\b1ga5le3.out
- %TEMP%\b1ga5le3.0.vb
- %TEMP%\b1ga5le3.cmdline
- %TEMP%\resdcf6.tmp
- %TEMP%\vbcab1678d0774d4c12858e97942a85db2c.tmp
- %TEMP%\vbcf2b7f84299cd41969343aaf8781e43d6.tmp
- %TEMP%\lvxtwy2n.out
- %TEMP%\lvxtwy2n.cmdline
- %TEMP%\lvxtwy2n.0.vb
- %TEMP%\rese407.tmp
- %TEMP%\vbc69448548fa44f6ca52ec4f5f023e082.tmp
- %TEMP%\cjz2eakk.0.vb
- %APPDATA%\google chrome.exe
Самоудаляется.
Сетевая активность
TCP
- 'RO######0-48166.portmap.io':48166
UDP
- DNS ASK RO######0-48166.portmap.io
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\HiVAMbfXHiVAMbfX.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\HiVAMbfX.vbs"
- '%APPDATA%\google chrome.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF95B.tmp" "%TEMP%\vbc82F007501F1C4945B5D86C1C94E8577F.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ojejzvwn.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF3B1.tmp" "%TEMP%\vbcA4A44C2051A847ADAAC29745A13AD2.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\t43aua5y.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEC70.tmp" "%TEMP%\vbc750D16E9E0241AEBAA7A291A7C3F7.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\liyjzbhk.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE407.tmp" "%TEMP%\vbc69448548FA44F6CA52EC4F5F023E082.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDCF6.tmp" "%TEMP%\vbcAB1678D0774D4C12858E97942A85DB2C.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\lvxtwy2n.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD632.tmp" "%TEMP%\vbcD317E2F8BC8B48C18E63E3B79A883AE0.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\b1ga5le3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCF8E.tmp" "%TEMP%\vbc97E4FE73EC014A47BF15FF558410754C.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\gbt0hm25.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC86D.tmp" "%TEMP%\vbc60DC9962931844F185157A894D17ED90.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\cjz2eakk.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\b4yqwyx1.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\b4yqwyx1.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC86D.tmp" "%TEMP%\vbc60DC9962931844F185157A894D17ED90.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\gbt0hm25.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCF8E.tmp" "%TEMP%\vbc97E4FE73EC014A47BF15FF558410754C.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\b1ga5le3.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD632.tmp" "%TEMP%\vbcD317E2F8BC8B48C18E63E3B79A883AE0.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\lvxtwy2n.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDCF6.tmp" "%TEMP%\vbcAB1678D0774D4C12858E97942A85DB2C.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\cjz2eakk.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE407.tmp" "%TEMP%\vbc69448548FA44F6CA52EC4F5F023E082.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\liyjzbhk.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEC70.tmp" "%TEMP%\vbc750D16E9E0241AEBAA7A291A7C3F7.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\t43aua5y.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF3B1.tmp" "%TEMP%\vbcA4A44C2051A847ADAAC29745A13AD2.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\ojejzvwn.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF95B.tmp" "%TEMP%\vbc82F007501F1C4945B5D86C1C94E8577F.TMP"
