Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID "1296"
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\posits.txt
- %TEMP%\desqmwve.0.cs
- %TEMP%\desqmwve.cmdline
- %TEMP%\desqmwve.out
- %TEMP%\cscb3063d17488b491e80d814d88a9458ae.tmp
- %TEMP%\res31c9.tmp
- %TEMP%\desqmwve.dll
- %TEMP%\mubdysij.0.cs
- %TEMP%\mubdysij.cmdline
- %TEMP%\mubdysij.out
- %TEMP%\csc232b9286b64d37b440a0e6a59de08b.tmp
- %TEMP%\res3552.tmp
- %TEMP%\mubdysij.dll
Удаляет следующие файлы
- <Текущая директория>\posits.txt
- %TEMP%\res31c9.tmp
- %TEMP%\cscb3063d17488b491e80d814d88a9458ae.tmp
- %TEMP%\desqmwve.out
- %TEMP%\desqmwve.cmdline
- %TEMP%\desqmwve.dll
- %TEMP%\desqmwve.0.cs
- %TEMP%\res3552.tmp
- %TEMP%\csc232b9286b64d37b440a0e6a59de08b.tmp
- %TEMP%\mubdysij.0.cs
- %TEMP%\mubdysij.out
- %TEMP%\mubdysij.cmdline
- %TEMP%\mubdysij.dll
Подменяет следующие файлы
- <Текущая директория>\posits.txt
Самоудаляется.
Сетевая активность
Подключается к
- 'google.com':443
- '7z##.mobi':80
- '7z##d.com':80
- 'ku##usi.org':80
TCP
- 'google.com':443
UDP
- DNS ASK google.com
- DNS ASK 7z##.mobi
- DNS ASK 7z##d.com
- DNS ASK ku##usi.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\desqmwve.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES31C9.tmp" "%TEMP%\CSCB3063D17488B491E80D814D88A9458AE.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\mubdysij.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3552.tmp" "%TEMP%\CSC232B9286B64D37B440A0E6A59DE08B.TMP"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Remove.bat" "1296" "<Полный путь к файлу>""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\desqmwve.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES31C9.tmp" "%TEMP%\CSCB3063D17488B491E80D814D88A9458AE.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\mubdysij.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3552.tmp" "%TEMP%\CSC232B9286B64D37B440A0E6A59DE08B.TMP"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Remove.bat" "1296" "<Полный путь к файлу>""
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
