Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -Ep Bypass -Command "Set-MpPreference -DisableRealtimeMonitoring \$true -DisableBehaviorMonitoring \$true -DisableBlockAtFirstSeen \$true -DisableIOAVProtection \$true -DisableScriptScanni...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei41722\sdl2.dll
- %TEMP%\_mei41722\sdl2_image.dll
- %TEMP%\_mei41722\sdl2_mixer.dll
- %TEMP%\_mei41722\sdl2_ttf.dll
- %TEMP%\_mei41722\vcruntime140.dll
- %TEMP%\_mei41722\vcruntime140_1.dll
- %TEMP%\_mei41722\_bz2.pyd
- %TEMP%\_mei41722\_ctypes.pyd
- %TEMP%\_mei41722\_decimal.pyd
- %TEMP%\_mei41722\_hashlib.pyd
- %TEMP%\_mei41722\_lzma.pyd
- %TEMP%\_mei41722\_queue.pyd
- %TEMP%\_mei41722\_socket.pyd
- %TEMP%\_mei41722\_wmi.pyd
- %TEMP%\_mei41722\base_library.zip
- %TEMP%\_mei41722\freetype.dll
- %TEMP%\_mei41722\libcrypto-3.dll
- %TEMP%\_mei41722\libffi-8.dll
- %TEMP%\_mei41722\libjpeg-9.dll
- %TEMP%\_mei41722\libmodplug-1.dll
- %TEMP%\_mei41722\libogg-0.dll
- %TEMP%\_mei41722\libopus-0.dll
- %TEMP%\_mei41722\libopusfile-0.dll
- %TEMP%\_mei41722\libpng16-16.dll
- %TEMP%\_mei41722\libtiff-5.dll
- %TEMP%\_mei41722\libwebp-7.dll
- %TEMP%\_mei41722\music.mp3
- %TEMP%\_mei41722\portmidi.dll
- %TEMP%\_mei41722\pygame\sdl2.dll
- %TEMP%\_mei41722\pygame\sdl2_image.dll
- %TEMP%\_mei41722\pygame\sdl2_mixer.dll
- %TEMP%\_mei41722\pygame\sdl2_ttf.dll
- %TEMP%\_mei41722\pygame\_freetype.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\base.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\bufferproxy.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\color.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\constants.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\display.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\draw.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\event.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\font.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\freesansbold.ttf
- %TEMP%\_mei41722\pygame\freetype.dll
- %TEMP%\_mei41722\pygame\image.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\imageext.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\joystick.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\key.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\libjpeg-9.dll
- %TEMP%\_mei41722\pygame\libogg-0.dll
- %TEMP%\_mei41722\pygame\libopus-0.dll
- %TEMP%\_mei41722\pygame\libpng16-16.dll
- %TEMP%\_mei41722\pygame\mask.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\math.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\mixer.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\mixer_music.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\mouse.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\pixelarray.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\pixelcopy.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\pygame_icon.bmp
- %TEMP%\_mei41722\pygame\rect.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\rwobject.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\scrap.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\surface.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\surflock.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\time.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\transform.cp313-win_amd64.pyd
- %TEMP%\_mei41722\pygame\zlib1.dll
- %TEMP%\_mei41722\python313.dll
- %TEMP%\_mei41722\sdelete.exe
- %TEMP%\_mei41722\select.pyd
- %TEMP%\_mei41722\spinner.png
- %TEMP%\_mei41722\unicodedata.pyd
- %TEMP%\_mei41722\zlib1.dll
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "powershell -NoP -Ep Bypass -Command "Set-MpPreference -DisableRealtimeMonitoring \$true -DisableBehaviorMonitoring \$true -DisableBlockAtFirstSeen \$true -DisableIOAVProtection \$true -Disa... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "sc stop "WinDefend"" (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "WinDefend"
- '<SYSTEM32>\cmd.exe' /c "sc stop "SecurityHealthService"" (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "SecurityHealthService"
- '<SYSTEM32>\cmd.exe' /c "sc stop "WdNisSvc"" (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "WdNisSvc"
- '<SYSTEM32>\cmd.exe' /c "sc stop "Sense"" (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "Sense"
- '<SYSTEM32>\cmd.exe' /c "sc stop "wscsvc"" (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "wscsvc"
- '<SYSTEM32>\cmd.exe' /c "vssadmin delete shadows /all /quiet" (со скрытым окном)
