Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsupdateservice
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -Command " Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\WindowsUpdate' -Force -ErrorAction SilentlyContinue Add-MpPreference ...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Set-MpPreference -DisableRealtimeMonitoring $false -ErrorAction SilentlyContinue"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei53322\pil\_imaging.cp313-win_amd64.pyd
- %TEMP%\_mei53322\pil\_imagingcms.cp313-win_amd64.pyd
- %TEMP%\_mei53322\pil\_imagingmath.cp313-win_amd64.pyd
- %TEMP%\_mei53322\pil\_imagingtk.cp313-win_amd64.pyd
- %TEMP%\_mei53322\pil\_webp.cp313-win_amd64.pyd
- %TEMP%\_mei53322\vcruntime140.dll
- %TEMP%\_mei53322\vcruntime140_1.dll
- %TEMP%\_mei53322\_asyncio.pyd
- %TEMP%\_mei53322\_bz2.pyd
- %TEMP%\_mei53322\_cffi_backend.cp313-win_amd64.pyd
- %TEMP%\_mei53322\_ctypes.pyd
- %TEMP%\_mei53322\_decimal.pyd
- %TEMP%\_mei53322\_hashlib.pyd
- %TEMP%\_mei53322\_lzma.pyd
- %TEMP%\_mei53322\_multiprocessing.pyd
- %TEMP%\_mei53322\_overlapped.pyd
- %TEMP%\_mei53322\_portaudiowpatch.cp313-win_amd64.pyd
- %TEMP%\_mei53322\_queue.pyd
- %TEMP%\_mei53322\_socket.pyd
- %TEMP%\_mei53322\_ssl.pyd
- %TEMP%\_mei53322\_uuid.pyd
- %TEMP%\_mei53322\_wmi.pyd
- %TEMP%\_mei53322\aiohttp\_http_parser.cp313-win_amd64.pyd
- %TEMP%\_mei53322\aiohttp\_http_writer.cp313-win_amd64.pyd
- %TEMP%\_mei53322\aiohttp\_websocket\mask.cp313-win_amd64.pyd
- %TEMP%\_mei53322\aiohttp\_websocket\reader_c.cp313-win_amd64.pyd
- %TEMP%\_mei53322\attrs-25.3.0.dist-info\installer
- %TEMP%\_mei53322\attrs-25.3.0.dist-info\metadata
- %TEMP%\_mei53322\attrs-25.3.0.dist-info\record
- %TEMP%\_mei53322\attrs-25.3.0.dist-info\wheel
- %TEMP%\_mei53322\attrs-25.3.0.dist-info\licenses\license
- %TEMP%\_mei53322\base_library.zip
- %TEMP%\_mei53322\bcrypt\_bcrypt.pyd
- %TEMP%\_mei53322\certifi\cacert.pem
- %TEMP%\_mei53322\charset_normalizer\md.cp313-win_amd64.pyd
- %TEMP%\_mei53322\charset_normalizer\md__mypyc.cp313-win_amd64.pyd
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei53322\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei53322\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei53322\cv2\__init__.py
- %TEMP%\_mei53322\cv2\config-3.py
- %TEMP%\_mei53322\cv2\config.py
- %TEMP%\_mei53322\cv2\cv2.pyd
- %TEMP%\_mei53322\cv2\data\__init__.py
- %TEMP%\_mei53322\cv2\gapi\__init__.py
- %TEMP%\_mei53322\cv2\load_config_py3.py
- %TEMP%\_mei53322\cv2\mat_wrapper\__init__.py
- %TEMP%\_mei53322\cv2\misc\__init__.py
- %TEMP%\_mei53322\cv2\misc\version.py
- %TEMP%\_mei53322\cv2\opencv_videoio_ffmpeg4110_64.dll
- %TEMP%\_mei53322\cv2\typing\__init__.py
- %TEMP%\_mei53322\cv2\utils\__init__.py
- %TEMP%\_mei53322\cv2\version.py
- %TEMP%\_mei53322\frozenlist\_frozenlist.cp313-win_amd64.pyd
- %TEMP%\_mei53322\greenlet\_greenlet.cp313-win_amd64.pyd
- %TEMP%\_mei53322\libcrypto-3.dll
- %TEMP%\_mei53322\libffi-8.dll
- %TEMP%\_mei53322\libssl-3.dll
- %TEMP%\_mei53322\msgpack\_cmsgpack.cp313-win_amd64.pyd
- %TEMP%\_mei53322\multidict\_multidict.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\delvewheel
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\installer
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\license.txt
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\metadata
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\record
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\wheel
- %TEMP%\_mei53322\numpy-2.3.0.dist-info\entry_points.txt
- %TEMP%\_mei53322\numpy.libs\libscipy_openblas64_-13e2df515630b4a41f92893938845698.dll
- %TEMP%\_mei53322\numpy.libs\msvcp140-263139962577ecda4cd9469ca360a746.dll
- %TEMP%\_mei53322\numpy\_core\_multiarray_tests.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\_core\_multiarray_umath.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\fft\_pocketfft_umath.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\linalg\_umath_linalg.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_bounded_integers.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_common.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_generator.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_mt19937.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_pcg64.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_philox.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\_sfc64.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\bit_generator.cp313-win_amd64.pyd
- %TEMP%\_mei53322\numpy\random\mtrand.cp313-win_amd64.pyd
- %TEMP%\_mei53322\propcache\_helpers_c.cp313-win_amd64.pyd
- %TEMP%\_mei53322\psutil\_psutil_windows.pyd
- %TEMP%\_mei53322\pyexpat.pyd
- %TEMP%\_mei53322\python3.dll
- %TEMP%\_mei53322\python313.dll
- %TEMP%\_mei53322\pywin32_system32\pywintypes313.dll
- %TEMP%\_mei53322\select.pyd
- %TEMP%\_mei53322\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\installer
- %TEMP%\_mei53322\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\license
- %TEMP%\_mei53322\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\metadata
- %TEMP%\_mei53322\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\record
- %TEMP%\_mei53322\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\wheel
- %TEMP%\_mei53322\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\top_level.txt
- %TEMP%\_mei53322\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei53322\unicodedata.pyd
- %TEMP%\_mei53322\win32\win32clipboard.pyd
- %TEMP%\_mei53322\win32\win32pdh.pyd
- %TEMP%\_mei53322\yarl\_quoting_c.cp313-win_amd64.pyd
- %TEMP%\_mei53322\zstandard\_cffi.cp313-win_amd64.pyd
- %TEMP%\_mei53322\zstandard\backend_c.cp313-win_amd64.pyd
- %ALLUSERSPROFILE%\microsoft\windowsupdate\.test_write
- %ALLUSERSPROFILE%\microsoft\windowsupdate\systemhelper.exe
- %ALLUSERSPROFILE%\microsoft\windowsupdate\.installed
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\microsoft\windowsupdate\systemhelper.exe
- %ALLUSERSPROFILE%\microsoft\windowsupdate\.installed
Удаляет файлы, которые сам же создал
- %ALLUSERSPROFILE%\microsoft\windowsupdate\.test_write
Подменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windowsupdate\.test_write
Сетевая активность
Подключается к
- 'gi##.###hubusercontent.com':443
- 'ig####736.ddns.net':8111
TCP
Другие
- 'gi##.###hubusercontent.com':443
UDP
- DNS ASK gi##.###hubusercontent.com
- DNS ASK ig####736.ddns.net
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' baseboard get serialnumber
- '<SYSTEM32>\wbem\wmic.exe' cpu get processorid
- '<SYSTEM32>\wbem\wmic.exe' nic where netenabled=true get macaddress
- '<SYSTEM32>\sc.exe' stop WindowsUpdateService
- '<SYSTEM32>\sc.exe' delete WindowsUpdateService
- '<SYSTEM32>\schtasks.exe' /delete /tn WindowsUpdateService /f
- '<SYSTEM32>\schtasks.exe' /create /tn WindowsUpdateService /tr \"%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\SystemHelper.exe\" /sc onlogon /rl highest /f
- '<SYSTEM32>\schtasks.exe' /query /tn WindowsUpdateService
