Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\open.bat
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei2442\msvcp140.dll
- %TEMP%\_mei21402\_bz2.pyd
- %TEMP%\_mei21402\_ctypes.pyd
- %TEMP%\_mei21402\_elementtree.pyd
- %TEMP%\_mei21402\_hashlib.pyd
- %TEMP%\_mei21402\_lzma.pyd
- %TEMP%\_mei21402\_queue.pyd
- %TEMP%\_mei21402\_socket.pyd
- %TEMP%\_mei21402\_ssl.pyd
- %TEMP%\_mei21402\_win32sysloader.pyd
- %TEMP%\_mei21402\charset_normalizer\md.cp37-win32.pyd
- %TEMP%\_mei21402\libcrypto-1_1.dll
- %TEMP%\_mei21402\libssl-1_1.dll
- %TEMP%\_mei21402\mfc140u.dll
- %TEMP%\_mei21402\pyexpat.pyd
- %TEMP%\tmpea7pbcks\gen_py\dicts.dat
- %TEMP%\_mei21402\python3.dll
- %TEMP%\_mei21402\python37.dll
- %TEMP%\_mei21402\pywin32_system32\pythoncom37.dll
- %TEMP%\_mei21402\pywin32_system32\pywintypes37.dll
- %TEMP%\_mei21402\select.pyd
- %TEMP%\_mei21402\unicodedata.pyd
- %TEMP%\_mei21402\win32api.pyd
- %TEMP%\_mei21402\win32trace.pyd
- %TEMP%\_mei21402\win32ui.pyd
- %TEMP%\_mei21402\base_library.zip
- %TEMP%\_mei21402\certifi\cacert.pem
- %TEMP%\w9oylses
- %TEMP%\tmpea7pbcks\gen_py\__init__.py
- %TEMP%\_mei21402\vcruntime140.dll
- %TEMP%\_mei21402\psutil\_psutil_windows.pyd
- %TEMP%\portchanger.exe
- %TEMP%\_mei2442\libssl-1_1-x64.dll
- %TEMP%\_mei2442\vcruntime140.dll
- %TEMP%\_mei2442\vcruntime140_1.dll
- %TEMP%\_mei2442\_brotli.cp37-win_amd64.pyd
- %TEMP%\_mei2442\_bz2.pyd
- %TEMP%\_mei2442\_cffi_backend.cp37-win_amd64.pyd
- %TEMP%\_mei2442\_hashlib.pyd
- %TEMP%\_mei2442\_lzma.pyd
- %TEMP%\_mei2442\_queue.pyd
- %TEMP%\_mei2442\_socket.pyd
- %TEMP%\_mei2442\_ssl.pyd
- %TEMP%\_mei2442\cryptography\hazmat\bindings\_openssl.pyd
- %TEMP%\_mei2442\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei2442\libcrypto-1_1-x64.dll
- %TEMP%\_mei2442\python3.dll
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\top_level.txt
- %TEMP%\_mei2442\python37.dll
- %TEMP%\_mei2442\select.pyd
- %TEMP%\_mei2442\unicodedata.pyd
- %TEMP%\_mei2442\base_library.zip
- %TEMP%\_mei2442\certifi\cacert.pem
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\installer
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license.apache
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license.bsd
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license.psf
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\metadata
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\record
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\wheel
- %TEMP%\swlyrpl4
- %TEMP%\devapp.exe
Удаляет следующие файлы
- %TEMP%\swlyrpl4
- %TEMP%\_mei2442\_socket.pyd
- %TEMP%\_mei2442\_queue.pyd
- %TEMP%\_mei2442\_lzma.pyd
- %TEMP%\_mei2442\_hashlib.pyd
- %TEMP%\_mei2442\_cffi_backend.cp37-win_amd64.pyd
- %TEMP%\_mei2442\_bz2.pyd
- %TEMP%\_mei2442\_brotli.cp37-win_amd64.pyd
- %TEMP%\_mei2442\vcruntime140_1.dll
- %TEMP%\_mei2442\vcruntime140.dll
- %TEMP%\_mei2442\unicodedata.pyd
- %TEMP%\_mei2442\select.pyd
- %TEMP%\_mei2442\python37.dll
- %TEMP%\_mei2442\python3.dll
- %TEMP%\_mei2442\msvcp140.dll
- %TEMP%\_mei2442\libssl-1_1-x64.dll
- %TEMP%\_mei2442\libcrypto-1_1-x64.dll
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\wheel
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\top_level.txt
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\record
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\metadata
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license.psf
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license.bsd
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license.apache
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\license
- %TEMP%\_mei2442\cryptography-38.0.4.dist-info\installer
- %TEMP%\_mei2442\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei2442\cryptography\hazmat\bindings\_openssl.pyd
- %TEMP%\_mei2442\certifi\cacert.pem
- %TEMP%\_mei2442\base_library.zip
- %TEMP%\_mei2442\_ssl.pyd
- %TEMP%\w9oylses
Сетевая активность
Подключается к
- 'bi###cket.org':443
- 'bb#######oads.s3.amazonaws.com':443
- 'gi##ab.com':443
TCP
Другие
- 'bi###cket.org':443
- 'bb#######oads.s3.amazonaws.com':443
- 'gi##ab.com':443
UDP
- DNS ASK bi###cket.org
- DNS ASK bb#######oads.s3.amazonaws.com
- DNS ASK gi##ab.com
Другое
Создает и запускает на исполнение
- '%TEMP%\portchanger.exe'
- '%TEMP%\devapp.exe'
- '<SYSTEM32>\cmd.exe' /c "PortChanger.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "DevApp.exe"' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "PortChanger.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "DevApp.exe"
