Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' %HOMEPATH%\Documents\template.xml
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\template.xml
- %TEMP%\oszn2m1u.0.cs
- %TEMP%\oszn2m1u.cmdline
- %TEMP%\oszn2m1u.out
- %TEMP%\csc5081a83f9ad04ebcb858f6f43174897e.tmp
- %TEMP%\res675.tmp
- %TEMP%\oszn2m1u.dll
Удаляет следующие файлы
- %TEMP%\res675.tmp
- %TEMP%\csc5081a83f9ad04ebcb858f6f43174897e.tmp
- %TEMP%\oszn2m1u.out
- %TEMP%\oszn2m1u.dll
- %TEMP%\oszn2m1u.pdb
- %TEMP%\oszn2m1u.cmdline
- %TEMP%\oszn2m1u.0.cs
Сетевая активность
Подключается к
- 're####.viowi.org':443
UDP
- DNS ASK re####.viowi.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' %HOMEPATH%\Documents\template.xml' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\oszn2m1u.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES675.tmp" "%TEMP%\CSC5081A83F9AD04EBCB858F6F43174897E.TMP"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\oszn2m1u.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES675.tmp" "%TEMP%\CSC5081A83F9AD04EBCB858F6F43174897E.TMP"
