Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemMonitorAutoStart' = '"<Полный путь к файлу>" --run-stealthy'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\SystemMonitorService] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\SystemMonitorService] 'ImagePath' = '<Полный путь к файлу>'
Создает следующие сервисы
- 'SystemMonitorService' <Полный путь к файлу>
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei51722\vcruntime140.dll
- %TEMP%\_mei51722\vcruntime140_1.dll
- %TEMP%\_mei51722\_bz2.pyd
- %TEMP%\_mei51722\_ctypes.pyd
- %TEMP%\_mei51722\_decimal.pyd
- %TEMP%\_mei51722\_hashlib.pyd
- %TEMP%\_mei51722\_lzma.pyd
- %TEMP%\_mei51722\_socket.pyd
- %TEMP%\_mei51722\_ssl.pyd
- %TEMP%\_mei51722\_uuid.pyd
- %TEMP%\_mei51722\_wmi.pyd
- %TEMP%\_mei51722\_zstd.pyd
- %TEMP%\_mei51722\base_library.zip
- %TEMP%\_mei51722\libcrypto-3.dll
- %TEMP%\_mei51722\libffi-8.dll
- %TEMP%\_mei51722\libssl-3.dll
- %TEMP%\_mei51722\python314.dll
- %TEMP%\_mei51722\select.pyd
- %TEMP%\_mei51722\unicodedata.pyd
- %TEMP%\a7x1ixe2
- %TEMP%\systemmonitor_activity.log
- %TEMP%\systemmonitor_staged_data\captured_screen.png
- %TEMP%\0246e067-2a6d-4867-bbf3-dabcebc749a3.exe
- %TEMP%\winlogon.exe
- %TEMP%\mycustomapi.dll
- %TEMP%\dbghelp.dll
- %TEMP%\systemmonitor_activity.log:hidden_stream
- C:\users\public\desktop\microsoft word_microsoft word (hijacked).txt
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\systemmonitor_staged_data\captured_screen.png
Удаляет файлы, которые сам же создал
- %TEMP%\a7x1ixe2
- %TEMP%\_mei51722\base_library.zip
- %TEMP%\_mei51722\libcrypto-3.dll
- %TEMP%\_mei51722\libffi-8.dll
- %TEMP%\_mei51722\libssl-3.dll
- %TEMP%\_mei51722\python314.dll
- %TEMP%\_mei51722\select.pyd
- %TEMP%\_mei51722\unicodedata.pyd
- %TEMP%\_mei51722\vcruntime140.dll
- %TEMP%\_mei51722\vcruntime140_1.dll
- %TEMP%\_mei51722\_bz2.pyd
- %TEMP%\_mei51722\_ctypes.pyd
- %TEMP%\_mei51722\_decimal.pyd
- %TEMP%\_mei51722\_hashlib.pyd
- %TEMP%\_mei51722\_lzma.pyd
- %TEMP%\_mei51722\_socket.pyd
- %TEMP%\_mei51722\_ssl.pyd
- %TEMP%\_mei51722\_uuid.pyd
- %TEMP%\_mei51722\_wmi.pyd
- %TEMP%\_mei51722\_zstd.pyd
Сетевая активность
TCP
Другие
- '15#.#01.129.91':443
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\tasklist.exe' /FO CSV /NH
- '<SYSTEM32>\cmd.exe' /c "cmd.exe /c icacls "%TEMP%\0246e067-2a6d-4867-bbf3-dabcebc749a3.exe" /grant "Everyone":F /T" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls "%TEMP%\0246e067-2a6d-4867-bbf3-dabcebc749a3.exe" /grant "Everyone":F /T
- '<SYSTEM32>\icacls.exe' "%TEMP%\0246e067-2a6d-4867-bbf3-dabcebc749a3.exe" /grant "Everyone":F /T
- '<SYSTEM32>\cmd.exe' /c "cmd.exe /c whoami && systeminfo" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c whoami
- '<SYSTEM32>\whoami.exe'
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\cmd.exe' /c "cmd.exe /c sc create "SystemMonitorService" binPath= "<Полный путь к файлу>" DisplayName= "Stealthy SystemMonitor System Service" start= auto obj= LocalSystem" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc create "SystemMonitorService" binPath= "<Полный путь к файлу>" DisplayName= "Stealthy SystemMonitor System Service" start= auto obj= LocalSystem
- '<SYSTEM32>\sc.exe' create "SystemMonitorService" binPath= "<Полный путь к файлу>" DisplayName= "Stealthy SystemMonitor System Service" start= auto obj= LocalSystem
