Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei8082\mailaccess.exe.manifest
- %TEMP%\_mei8082\include\pyconfig.h
- %TEMP%\_mei8082\base_library.zip
- %TEMP%\_mei8082\certifi\cacert.pem
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\authors.rst
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\installer
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\license
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\license.apache
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\license.bsd
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\license.psf
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\metadata
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\record
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\wheel
- %TEMP%\_mei8082\cryptography-2.9.2-py3.7.egg-info\top_level.txt
- %TEMP%\_mei8082\license.lic
- %TEMP%\_mei8082\pytransform.key
- %TEMP%\_mei8082\unicodedata.pyd
- %TEMP%\8pi523kt
- %TEMP%\_mei8082\select.pyd
- %TEMP%\_mei8082\pyexpat.pyd
- %TEMP%\_mei8082\vcruntime140.dll
- %TEMP%\_mei8082\_bz2.pyd
- %TEMP%\_mei8082\_cffi_backend.cp37-win_amd64.pyd
- %TEMP%\_mei8082\_ctypes.pyd
- %TEMP%\_mei8082\_decimal.pyd
- %TEMP%\_mei8082\_hashlib.pyd
- %TEMP%\_mei8082\_lzma.pyd
- %TEMP%\_mei8082\_pytransform.dll
- %TEMP%\_mei8082\_queue.pyd
- %TEMP%\_mei8082\_socket.pyd
- %TEMP%\_mei8082\_ssl.pyd
- %TEMP%\_mei8082\cryptography\hazmat\bindings\_constant_time.cp37-win_amd64.pyd
- %TEMP%\_mei8082\cryptography\hazmat\bindings\_openssl.cp37-win_amd64.pyd
- %TEMP%\_mei8082\libcrypto-1_1.dll
- %TEMP%\_mei8082\libssl-1_1.dll
- %TEMP%\_mei8082\python37.dll
- <Текущая директория>\run.cache
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\run.cache
Удаляет следующие файлы
- %TEMP%\8pi523kt
Сетевая активность
TCP
- 'kr#########kingkit.000webhostapp.com':443
UDP
- DNS ASK kr#########kingkit.000webhostapp.com
Другое
Создает и запускает на исполнение
- '<Текущая директория>\run.cache'
- '%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 1 & Del "<Текущая директория>\run.cache"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cls
- '<SYSTEM32>\cmd.exe' /c title Mail Access Checker
- '<SYSTEM32>\cmd.exe' /c run.cache
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
- '%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 1 & Del "<Текущая директория>\run.cache"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 1
