Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\Mevmev Nfvnf] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Mevmev Nfvnf] 'ImagePath' = '%WINDIR%\Mevme.exe -auto'
Создает следующие сервисы
- 'Mevmev Nfvnf' %WINDIR%\Mevme.exe -auto
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'Regmonclass', WindowName: ''
- ClassName: 'Filemonclass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\mevme.exe
- nul
Самоудаляется.
Сетевая активность
Подключается к
- 'ou##zy.xyz':8080
TCP
Другие
- 'ou##zy.xyz':8080
UDP
- DNS ASK ou##zy.xyz
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
- ClassName: '4823-00000029' WindowName: ''
- ClassName: 'CTXOPConntion_Class' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\mevme.exe' -auto
- '%WINDIR%\mevme.exe' -acsi
- '%WINDIR%\syswow64\cmd.exe' /c ping -n 2 127.0.0.1 > nul && del <Полный путь к файлу> > nul' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ping -n 2 127.0.0.1 > nul && del <Полный путь к файлу> > nul
- '%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
