Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\mymalicioustask
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei53122\vcruntime140.dll
- %TEMP%\_mei53122\vcruntime140_1.dll
- %TEMP%\_mei53122\_asyncio.pyd
- %TEMP%\_mei53122\_bz2.pyd
- %TEMP%\_mei53122\_ctypes.pyd
- %TEMP%\_mei53122\_decimal.pyd
- %TEMP%\_mei53122\_hashlib.pyd
- %TEMP%\_mei53122\_lzma.pyd
- %TEMP%\_mei53122\_multiprocessing.pyd
- %TEMP%\_mei53122\_overlapped.pyd
- %TEMP%\_mei53122\_queue.pyd
- %TEMP%\_mei53122\_socket.pyd
- %TEMP%\_mei53122\_ssl.pyd
- %TEMP%\_mei53122\_wmi.pyd
- %TEMP%\_mei53122\_zstd.pyd
- %TEMP%\_mei53122\base_library.zip
- %TEMP%\_mei53122\certifi\cacert.pem
- %TEMP%\_mei53122\charset_normalizer\md.cp314-win_amd64.pyd
- %TEMP%\_mei53122\charset_normalizer\md__mypyc.cp314-win_amd64.pyd
- %TEMP%\_mei53122\libcrypto-3.dll
- %TEMP%\_mei53122\libffi-8.dll
- %TEMP%\_mei53122\libssl-3.dll
- %TEMP%\_mei53122\pyexpat.pyd
- %TEMP%\_mei53122\python314.dll
- %TEMP%\_mei53122\select.pyd
- %TEMP%\_mei53122\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\installer
- %TEMP%\_mei53122\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\license
- %TEMP%\_mei53122\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\metadata
- %TEMP%\_mei53122\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\record
- %TEMP%\_mei53122\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\wheel
- %TEMP%\_mei53122\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\top_level.txt
- %TEMP%\_mei53122\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei53122\unicodedata.pyd
- %TEMP%\xg12vy5f
- %TEMP%\dummy_file.txt
- %TEMP%\hidden_dummy.txt
- %TEMP%\encrypt_me.txt
- %TEMP%\vbs_popup_demo.vbs
Удаляет файлы, которые сам же создал
- %TEMP%\xg12vy5f
- %TEMP%\vbs_popup_demo.vbs
Сетевая активность
TCP
Другие
- '15#.#01.1.91':443
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cscript.exe' //NoLogo %TEMP%\vbs_popup_demo.vbs
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "cmd.exe /c "whoami /all"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "whoami /all"
- '<SYSTEM32>\whoami.exe' /all
- '<SYSTEM32>\cmd.exe' /c "powershell.exe -Command "Get-LocalGroupMember -Group Administrators"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-LocalGroupMember -Group Administrators"
- '<SYSTEM32>\cmd.exe' /c "cscript.exe //NoLogo %TEMP%\vbs_popup_demo.vbs" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "schtasks.exe /create /TN MyMaliciousTask /TR "cmd.exe /c echo Scheduled task executed! >> %TEMP%\dummy_file.txt" /SC ONCE /SD 11/28/2025 /ST 06:36 /F" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /TN MyMaliciousTask /TR "cmd.exe /c echo Scheduled task executed! >> %TEMP%\dummy_file.txt" /SC ONCE /SD 11/28/2025 /ST 06:36 /F
- '<SYSTEM32>\cmd.exe' /c echo Scheduled task executed! >> %TEMP%\dummy_file.txt
