Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\join.avi
Изменения в файловой системе
Создает следующие файлы
- C:\systemmonitor\usbdriver.exe
- %TEMP%\bvmvi-ck.out
- %TEMP%\vbc142b.tmp
- %TEMP%\res142c.tmp
- C:\program files.exe
- %TEMP%\vwe5w3j9.0.vb
- %TEMP%\vwe5w3j9.cmdline
- %TEMP%\vwe5w3j9.out
- %TEMP%\vbc17c4.tmp
- %TEMP%\res17c5.tmp
- C:\recovery.exe
- %TEMP%\zgtppi3i.0.vb
- %TEMP%\zgtppi3i.cmdline
- %TEMP%\x93q3tu4.cmdline
- %TEMP%\zgtppi3i.out
- %TEMP%\res1b9c.tmp
- C:\totalcmd.exe
- D:\systemmonitor\usbdriver.exe
- %ALLUSERSPROFILE%\systemmonitor\install.ico
- %TEMP%\kscaw8e2.0.vb
- %TEMP%\kscaw8e2.cmdline
- %TEMP%\kscaw8e2.out
- %APPDATA%\microsoft\windows\templates\sysmon.exe
- %TEMP%\vbc2126.tmp
- %TEMP%\res2137.tmp
- D:\install.log.exe
- %TEMP%\wnh5plo1.0.vb
- %TEMP%\bvmvi-ck.0.vb
- %TEMP%\bvmvi-ck.cmdline
- C:\perflogs.exe
- %TEMP%\res1084.tmp
- %TEMP%\vbc1083.tmp
- %TEMP%\4wb7ihd4.0.vb
- %TEMP%\4wb7ihd4.cmdline
- %TEMP%\4wb7ihd4.out
- %TEMP%\vbc1e3.tmp
- %TEMP%\res1e4.tmp
- C:\$recycle.bin.exe
- %TEMP%\2cnwp4m_.0.vb
- %TEMP%\2cnwp4m_.cmdline
- %TEMP%\2cnwp4m_.out
- %TEMP%\vbc51e.tmp
- %TEMP%\res52f.tmp
- C:\documents and settings.exe
- %TEMP%\wnh5plo1.cmdline
- %TEMP%\vbc1b9b.tmp
- %TEMP%\x93q3tu4.0.vb
- %TEMP%\vbc8d6.tmp
- %TEMP%\res8d7.tmp
- C:\far2.exe
- %TEMP%\zwimkkjt.0.vb
- %TEMP%\zwimkkjt.cmdline
- %TEMP%\zwimkkjt.out
- %TEMP%\vbcc8d.tmp
- %TEMP%\resc8e.tmp
- C:\msocache.exe
- %TEMP%\dkh8wcfw.0.vb
- %TEMP%\dkh8wcfw.cmdline
- %TEMP%\dkh8wcfw.out
- %ALLUSERSPROFILE%\systemmonitor\vpvehevqdy.ico
- %TEMP%\x93q3tu4.out
- %TEMP%\wnh5plo1.out
Присваивает атрибут 'скрытый' для следующих файлов
- C:\systemmonitor\usbdriver.exe
- D:\systemmonitor\usbdriver.exe
Удаляет следующие файлы
- %TEMP%\res1e4.tmp
- %TEMP%\res142c.tmp
- %TEMP%\vbc142b.tmp
- %TEMP%\bvmvi-ck.cmdline
- %TEMP%\bvmvi-ck.0.vb
- %TEMP%\bvmvi-ck.out
- %TEMP%\res17c5.tmp
- %TEMP%\vbc17c4.tmp
- %TEMP%\vwe5w3j9.out
- %TEMP%\vwe5w3j9.0.vb
- %TEMP%\res1b9c.tmp
- %TEMP%\wnh5plo1.0.vb
- %TEMP%\vbc1b9b.tmp
- %TEMP%\zgtppi3i.0.vb
- %TEMP%\zgtppi3i.cmdline
- %TEMP%\zgtppi3i.out
- %TEMP%\res2137.tmp
- %TEMP%\vbc2126.tmp
- %TEMP%\kscaw8e2.out
- %TEMP%\kscaw8e2.cmdline
- %TEMP%\kscaw8e2.0.vb
- %TEMP%\dkh8wcfw.out
- %TEMP%\vwe5w3j9.cmdline
- %TEMP%\dkh8wcfw.0.vb
- %TEMP%\res8d7.tmp
- %TEMP%\vbc1e3.tmp
- %TEMP%\4wb7ihd4.cmdline
- %TEMP%\4wb7ihd4.0.vb
- %TEMP%\4wb7ihd4.out
- %TEMP%\res52f.tmp
- %TEMP%\vbc51e.tmp
- %TEMP%\2cnwp4m_.0.vb
- %TEMP%\2cnwp4m_.cmdline
- %TEMP%\2cnwp4m_.out
- %TEMP%\vbc8d6.tmp
- %TEMP%\vbc1083.tmp
- %TEMP%\x93q3tu4.0.vb
- %TEMP%\x93q3tu4.out
- %TEMP%\x93q3tu4.cmdline
- %TEMP%\resc8e.tmp
- %TEMP%\vbcc8d.tmp
- %TEMP%\zwimkkjt.0.vb
- %TEMP%\zwimkkjt.out
- %TEMP%\zwimkkjt.cmdline
- %TEMP%\res1084.tmp
- %TEMP%\dkh8wcfw.cmdline
- %TEMP%\wnh5plo1.cmdline
Сетевая активность
Подключается к
- 'so###.dynu.net':3333
- 'qu##.linkpc.net':3333
UDP
- DNS ASK so###.dynu.net
- DNS ASK qu##.linkpc.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\templates\sysmon.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\4wb7ihd4.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\wnh5plo1.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2137.tmp" "%TEMP%\vbc2126.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\kscaw8e2.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1B9C.tmp" "%TEMP%\vbc1B9B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zgtppi3i.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES17C5.tmp" "%TEMP%\vbc17C4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vwe5w3j9.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES142C.tmp" "%TEMP%\vbc142B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\bvmvi-ck.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\dkh8wcfw.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC8E.tmp" "%TEMP%\vbcC8D.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zwimkkjt.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8D7.tmp" "%TEMP%\vbc8D6.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\x93q3tu4.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES52F.tmp" "%TEMP%\vbc51E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\2cnwp4m_.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1E4.tmp" "%TEMP%\vbc1E3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1084.tmp" "%TEMP%\vbc1083.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\-eqfm-ak.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\4wb7ihd4.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2137.tmp" "%TEMP%\vbc2126.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\kscaw8e2.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1B9C.tmp" "%TEMP%\vbc1B9B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zgtppi3i.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES17C5.tmp" "%TEMP%\vbc17C4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vwe5w3j9.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES142C.tmp" "%TEMP%\vbc142B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\bvmvi-ck.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1084.tmp" "%TEMP%\vbc1083.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\dkh8wcfw.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC8E.tmp" "%TEMP%\vbcC8D.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zwimkkjt.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8D7.tmp" "%TEMP%\vbc8D6.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\x93q3tu4.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES52F.tmp" "%TEMP%\vbc51E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\2cnwp4m_.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1E4.tmp" "%TEMP%\vbc1E3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\wnh5plo1.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\-eqfm-ak.cmdline"
