Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\revengerat\client.exe
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp.exe
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dialmap.bmp.exe
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\dial.bmp.exe
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\split.avi.exe
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\archer.avi.exe
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\correct.avi.exe
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi.exe
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\aspnet_compiler.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\jzwfrtnhu.txt
- %TEMP%\sesshysl.cmdline
- %TEMP%\sesshysl.out
- %TEMP%\vbc905c.tmp
- %TEMP%\res905d.tmp
- %ALLUSERSPROFILE%\revengerat\dialmap.ico
- %TEMP%\xtxymqfp.0.vb
- %TEMP%\xtxymqfp.cmdline
- %TEMP%\xtxymqfp.out
- %ALLUSERSPROFILE%\revengerat\dial.ico
- %TEMP%\sesshysl.0.vb
- %TEMP%\vbc95aa.tmp
- %TEMP%\9dzan428.0.vb
- %TEMP%\9dzan428.cmdline
- %TEMP%\9dzan428.out
- %APPDATA%\client.exe
- %TEMP%\vbc9bb2.tmp
- %TEMP%\res9bb3.tmp
- %ALLUSERSPROFILE%\revengerat\toolbar.ico
- %TEMP%\u_juegy8.0.vb
- %TEMP%\res95ab.tmp
- %ALLUSERSPROFILE%\revengerat\dashborder_192.ico
- %TEMP%\res8b4f.tmp
- %TEMP%\vbc8b3e.tmp
- %TEMP%\k2tlbcjb.out
- %TEMP%\gwlzety7.0.vb
- %TEMP%\gwlzety7.cmdline
- %TEMP%\gwlzety7.out
- %TEMP%\vbc7c21.tmp
- %TEMP%\res7c22.tmp
- %ALLUSERSPROFILE%\revengerat\correct.ico
- %TEMP%\cmazrmhn.0.vb
- %TEMP%\cmazrmhn.cmdline
- %TEMP%\cmazrmhn.out
- %ALLUSERSPROFILE%\revengerat\000814251_video_01.ico
- %TEMP%\vbc8140.tmp
- %ALLUSERSPROFILE%\revengerat\archer.ico
- %TEMP%\aaqsyo7t.0.vb
- %TEMP%\aaqsyo7t.cmdline
- %TEMP%\aaqsyo7t.out
- %TEMP%\vbc863f.tmp
- %TEMP%\res8640.tmp
- %ALLUSERSPROFILE%\revengerat\split.ico
- %TEMP%\k2tlbcjb.0.vb
- %TEMP%\k2tlbcjb.cmdline
- %TEMP%\res8141.tmp
- %TEMP%\u_juegy8.cmdline
- %TEMP%\u_juegy8.out
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\revengerat\client.exe
Удаляет следующие файлы
- %TEMP%\res7c22.tmp
- %TEMP%\res905d.tmp
- %TEMP%\vbc905c.tmp
- %TEMP%\sesshysl.0.vb
- %TEMP%\sesshysl.cmdline
- %TEMP%\sesshysl.out
- %TEMP%\res95ab.tmp
- %TEMP%\vbc95aa.tmp
- %TEMP%\xtxymqfp.0.vb
- %TEMP%\xtxymqfp.out
- %TEMP%\xtxymqfp.cmdline
- %TEMP%\res9bb3.tmp
- %TEMP%\vbc9bb2.tmp
- %TEMP%\9dzan428.0.vb
- %TEMP%\9dzan428.out
- %TEMP%\9dzan428.cmdline
- %TEMP%\k2tlbcjb.cmdline
- %TEMP%\u_juegy8.0.vb
- %TEMP%\k2tlbcjb.0.vb
- %TEMP%\vbc8b3e.tmp
- %TEMP%\vbc7c21.tmp
- %TEMP%\gwlzety7.out
- %TEMP%\gwlzety7.0.vb
- %TEMP%\gwlzety7.cmdline
- %TEMP%\res8141.tmp
- %TEMP%\vbc8140.tmp
- %TEMP%\cmazrmhn.out
- %TEMP%\cmazrmhn.cmdline
- %TEMP%\cmazrmhn.0.vb
- %TEMP%\res8640.tmp
- %TEMP%\vbc863f.tmp
- %TEMP%\aaqsyo7t.out
- %TEMP%\aaqsyo7t.0.vb
- %TEMP%\aaqsyo7t.cmdline
- %TEMP%\res8b4f.tmp
- %TEMP%\k2tlbcjb.out
- %TEMP%\u_juegy8.cmdline
Сетевая активность
UDP
- DNS ASK ro####.hopto.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\client.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\gwlzety7.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES193B.tmp" "%TEMP%\vbc193A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7x5v3vzq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1BAB.tmp" "%TEMP%\vbc1B9B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\4yyr0wly.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1E69.tmp" "%TEMP%\vbc1E68.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\oqxpxujl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\miotgghk.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES24B0.tmp" "%TEMP%\vbc24AF.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\uhde-ppt.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2684.tmp" "%TEMP%\vbc2683.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7pcqr-qo.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES28F4.tmp" "%TEMP%\vbc28F3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ewe5vbef.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0yl10ebd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES226F.tmp" "%TEMP%\vbc226E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16CB.tmp" "%TEMP%\vbc16CA.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8B4F.tmp" "%TEMP%\vbc8B3E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7C22.tmp" "%TEMP%\vbc7C21.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\cmazrmhn.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8141.tmp" "%TEMP%\vbc8140.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\aaqsyo7t.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8640.tmp" "%TEMP%\vbc863F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\k2tlbcjb.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\sesshysl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\xblubzdf.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES905D.tmp" "%TEMP%\vbc905C.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\xtxymqfp.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES95AB.tmp" "%TEMP%\vbc95AA.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\9dzan428.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9BB3.tmp" "%TEMP%\vbc9BB2.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\u_juegy8.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2B26.tmp" "%TEMP%\vbc2B25.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jodyyjcf.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\aspnet_compiler.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES193B.tmp" "%TEMP%\vbc193A.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7x5v3vzq.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1BAB.tmp" "%TEMP%\vbc1B9B.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\4yyr0wly.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1E69.tmp" "%TEMP%\vbc1E68.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0yl10ebd.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\oqxpxujl.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2B26.tmp" "%TEMP%\vbc2B25.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES24B0.tmp" "%TEMP%\vbc24AF.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\uhde-ppt.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2684.tmp" "%TEMP%\vbc2683.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7pcqr-qo.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES28F4.tmp" "%TEMP%\vbc28F3.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ewe5vbef.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\miotgghk.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES226F.tmp" "%TEMP%\vbc226E.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16CB.tmp" "%TEMP%\vbc16CA.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\k2tlbcjb.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\gwlzety7.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7C22.tmp" "%TEMP%\vbc7C21.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\cmazrmhn.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8141.tmp" "%TEMP%\vbc8140.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\aaqsyo7t.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8640.tmp" "%TEMP%\vbc863F.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8B4F.tmp" "%TEMP%\vbc8B3E.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\u_juegy8.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\sesshysl.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES905D.tmp" "%TEMP%\vbc905C.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\xtxymqfp.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES95AB.tmp" "%TEMP%\vbc95AA.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\9dzan428.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9BB3.tmp" "%TEMP%\vbc9BB2.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\xblubzdf.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jodyyjcf.cmdline"
