Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %TEMP%\s1ozjq.xml
- %TEMP%\sv1iiapj\sv1iiapj.0.cs
- %TEMP%\sv1iiapj\sv1iiapj.cmdline
- %TEMP%\sv1iiapj\sv1iiapj.out
- %TEMP%\sv1iiapj\csc474cada0b8724f7198aff551110a12c.tmp
- %TEMP%\res962.tmp
- %TEMP%\sv1iiapj\sv1iiapj.dll
- %TEMP%\content\3512-2084-msbuild.exe-17-04-15-662.dump
- %TEMP%\content\3512-2084-msbuild.exe-17-04-16-134.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\msbuild.exe.log
- %TEMP%\f0jy3.xml
- %TEMP%\quhe5rjp\quhe5rjp.0.cs
- %TEMP%\quhe5rjp\quhe5rjp.cmdline
- %TEMP%\quhe5rjp\quhe5rjp.out
- %TEMP%\32881629-1a32-4e2d-8752-51e1afa889b2.txt
- %TEMP%\w2mcxc.xml
Удаляет файлы, которые сам же создал
- %TEMP%\res962.tmp
- %TEMP%\sv1iiapj\csc474cada0b8724f7198aff551110a12c.tmp
- %TEMP%\sv1iiapj\sv1iiapj.out
- %TEMP%\sv1iiapj\sv1iiapj.0.cs
- %TEMP%\sv1iiapj\sv1iiapj.cmdline
- %TEMP%\sv1iiapj\sv1iiapj.pdb
- %TEMP%\sv1iiapj\sv1iiapj.dll
- %TEMP%\quhe5rjp\quhe5rjp.0.cs
- %TEMP%\quhe5rjp\quhe5rjp.cmdline
- %TEMP%\quhe5rjp\quhe5rjp.out
Сетевая активность
UDP
- DNS ASK ap#.#pify.org
- DNS ASK vi###total.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "net session" (со скрытым окном)
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe' %TEMP%\s1ozjq.xml /nologo /v:quiet (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\sv1iiapj\sv1iiapj.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES962.tmp" "%TEMP%\sv1iiapj\CSC474CADA0B8724F7198AFF551110A12C.TMP" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe "%TEMP%\f0jy3.xml" /nologo /v:quiet" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe' "%TEMP%\f0jy3.xml" /nologo /v:quiet
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\quhe5rjp\quhe5rjp.cmdline" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "getmac" (со скрытым окном)
- '<SYSTEM32>\getmac.exe'
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic csproduct get uuid" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic path win32_videocontroller get caption" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_videocontroller get caption
- '<SYSTEM32>\cmd.exe' /d /s /c "systeminfo" (со скрытым окном)
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\cmd.exe' /d /s /c ""%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe" "%TEMP%\w2mcxc.xml" /nologo /v:quiet" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe' "%TEMP%\w2mcxc.xml" /nologo /v:quiet
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\vb1ryvd5\vb1ryvd5.cmdline" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe "%TEMP%\6mgs4k.xml" /nologo /v:quiet" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe' "%TEMP%\6mgs4k.xml" /nologo /v:quiet
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ylwexact\ylwexact.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7371.tmp" "%TEMP%\ylwexact\CSCE3A378F5C08E4A14A86620F1B7AFCEAA.TMP" (со скрытым окном)
