Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\runtime-broker.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei21002\vcruntime140.dll
- %TEMP%\_mei29602\_bz2.pyd
- %TEMP%\_mei29602\_cffi_backend.cp37-win_amd64.pyd
- %TEMP%\_mei29602\_decimal.pyd
- %TEMP%\_mei29602\_hashlib.pyd
- %TEMP%\_mei29602\_lzma.pyd
- %TEMP%\_mei29602\_queue.pyd
- %TEMP%\_mei29602\_socket.pyd
- %TEMP%\_mei29602\_ssl.pyd
- %TEMP%\_mei29602\cryptography\hazmat\bindings\_openssl.pyd
- %TEMP%\_mei29602\cryptography\hazmat\bindings\_padding.pyd
- %TEMP%\_mei29602\libcrypto-1_1.dll
- %TEMP%\_mei29602\libssl-1_1.dll
- %TEMP%\_mei29602\runtime-broker.exe.manifest
- %TEMP%\_mei29602\vcruntime140.dll
- %TEMP%\_mei29602\pyexpat.pyd
- %TEMP%\_mei29602\select.pyd
- %TEMP%\_mei29602\unicodedata.pyd
- %TEMP%\_mei29602\base_library.zip
- %TEMP%\_mei29602\certifi\cacert.pem
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\authors.rst
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\installer
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\license
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\license.apache
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\license.bsd
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\license.psf
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\metadata
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\record
- %TEMP%\_mei29602\python3.dll
- %TEMP%\_mei29602\python37.dll
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\top_level.txt
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\wheel
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\record
- %TEMP%\_mei21002\_cffi_backend.cp37-win_amd64.pyd
- %TEMP%\_mei21002\_ctypes.pyd
- %TEMP%\_mei21002\_decimal.pyd
- %TEMP%\_mei21002\_hashlib.pyd
- %TEMP%\_mei21002\_lzma.pyd
- %TEMP%\_mei21002\_queue.pyd
- %TEMP%\_mei21002\_socket.pyd
- %TEMP%\_mei21002\_ssl.pyd
- %TEMP%\_mei21002\autoupdate.exe.manifest
- %TEMP%\_mei21002\cryptography\hazmat\bindings\_openssl.pyd
- %TEMP%\_mei21002\libcrypto-1_1.dll
- %TEMP%\_mei21002\libssl-1_1.dll
- %TEMP%\_mei21002\pyexpat.pyd
- %TEMP%\_mei21002\_bz2.pyd
- %TEMP%\_mei21002\python3.dll
- %TEMP%\_mei21002\pywintypes37.dll
- %TEMP%\_mei21002\select.pyd
- %TEMP%\_mei21002\unicodedata.pyd
- %TEMP%\_mei21002\win32wnet.pyd
- %TEMP%\_mei21002\base_library.zip
- %TEMP%\_mei21002\certifi\cacert.pem
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\authors.rst
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\installer
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\license
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\license.apache
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\license.bsd
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\license.psf
- %TEMP%\_mei21002\cryptography-3.1-py3.7.egg-info\metadata
- %TEMP%\_mei21002\python37.dll
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\wheel
- %TEMP%\_mei29602\cryptography-3.1-py3.7.egg-info\top_level.txt
Сетевая активность
Подключается к
- 'uc#############ec093af740426.dl.dropboxusercontent.com':443
- '51.##.65.149':443
TCP
- 'dr##box.com':443
- 'uc#############317faf859e110.dl.dropboxusercontent.com':443
- 'pa###bin.com':443
UDP
- DNS ASK dr##box.com
- DNS ASK uc#############317faf859e110.dl.dropboxusercontent.com
- DNS ASK pa###bin.com
- DNS ASK uc#############ec093af740426.dl.dropboxusercontent.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\runtime-broker.exe'
Запускает на исполнение
- '<SYSTEM32>\tasklist.exe' /FI "imagename eq Runtime-Broker.exe"
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
