Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' %TEMP%\template.xml
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\template.xml
- %TEMP%\caofldmy.0.cs
- %TEMP%\caofldmy.cmdline
- %TEMP%\caofldmy.out
- %TEMP%\csce9c9eef7b108499e95d587d4a887256.tmp
- %TEMP%\res33fb.tmp
- %TEMP%\caofldmy.dll
Удаляет следующие файлы
- %TEMP%\res33fb.tmp
- %TEMP%\csce9c9eef7b108499e95d587d4a887256.tmp
- %TEMP%\caofldmy.pdb
- %TEMP%\caofldmy.out
- %TEMP%\caofldmy.cmdline
- %TEMP%\caofldmy.0.cs
- %TEMP%\caofldmy.dll
Сетевая активность
Подключается к
- '<LOCALNET>.130.132':80
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' %TEMP%\template.xml' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\caofldmy.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES33FB.tmp" "%TEMP%\CSCE9C9EEF7B108499E95D587D4A887256.TMP"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\caofldmy.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES33FB.tmp" "%TEMP%\CSCE9C9EEF7B108499E95D587D4A887256.TMP"
