Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\cofalozaprint.url
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\priexceptioninfo
- %TEMP%\qudqmbul.0.cs
- %TEMP%\qudqmbul.cmdline
- %TEMP%\qudqmbul.out
- %TEMP%\cscd6f2727e929746afb49dc518b3ca47a.tmp
- %TEMP%\resa308.tmp
- %TEMP%\qudqmbul.dll
- %TEMP%\cofalozaprint.exe
Удаляет следующие файлы
- %TEMP%\resa308.tmp
- %TEMP%\cscd6f2727e929746afb49dc518b3ca47a.tmp
- %TEMP%\qudqmbul.cmdline
- %TEMP%\qudqmbul.out
- %TEMP%\qudqmbul.dll
- %TEMP%\qudqmbul.0.cs
Сетевая активность
Подключается к
- 'ne#####io11.duckdns.org':6699
UDP
- DNS ASK ne#####io11.duckdns.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\qudqmbul.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA308.tmp" "%TEMP%\CSCD6F2727E929746AFB49DC518B3CA47A.TMP"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\qudqmbul.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA308.tmp" "%TEMP%\CSCD6F2727E929746AFB49DC518B3CA47A.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
