Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- 'tunnel' system32\DRIVERS\tunnel.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '100.127.100.1'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei13442\microsoft.vc90.crt.manifest
- %TEMP%\_mei13442\pywintypes27.dll
- %TEMP%\_mei13442\win32pipe.pyd
- %TEMP%\_mei13442\_ctypes.pyd
- %TEMP%\_mei13442\pyexpat.pyd
- %TEMP%\_mei13442\_socket.pyd
- %TEMP%\_mei13442\_ssl.pyd
- %TEMP%\_mei13442\select.pyd
- %TEMP%\_mei13442\_hashlib.pyd
- %TEMP%\_mei13442\agent.pyd
- %TEMP%\_mei13442\bz2.pyd
- %TEMP%\_mei13442\unicodedata.pyd
- %TEMP%\_mei13442\python27.dll
- %TEMP%\_mei13442\msvcm90.dll
- %TEMP%\_mei13442\msvcp90.dll
- %TEMP%\_mei13442\msvcr90.dll
- %TEMP%\_mei13442\include\pyconfig.h
- %TEMP%\_mei13442\main.exe.manifest
Сетевая активность
UDP
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c getmac /FO csv /V /NH' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh interface ip set dnsservers "Local Area Connection" static 100.127.100.1 primary' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh interface ip set address "Local Area Connection" static 100.127.100.28 255.255.255.0 100.127.100.1' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /c getmac /FO csv /V /NH
- '%WINDIR%\syswow64\getmac.exe' /FO csv /V /NH
- '%WINDIR%\syswow64\cmd.exe' /c netsh interface ip set dnsservers "Local Area Connection" static 100.127.100.1 primary
- '%WINDIR%\syswow64\netsh.exe' interface ip set dnsservers "Local Area Connection" static 100.127.100.1 primary
- '%WINDIR%\syswow64\cmd.exe' /c netsh interface ip set address "Local Area Connection" static 100.127.100.28 255.255.255.0 100.127.100.1
- '%WINDIR%\syswow64\netsh.exe' interface ip set address "Local Area Connection" static 100.127.100.28 255.255.255.0 100.127.100.1
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
