Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM objection.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ollydbg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cheatengine.exe
- '<SYSTEM32>\taskkill.exe' /F /IM burpsuite.exe
- '<SYSTEM32>\taskkill.exe' /F /IM dotpeek.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cheatengine-x86_64.exe
- '<SYSTEM32>\taskkill.exe' /F /IM extremeinjector.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cheatengine-i386.exe
- '<SYSTEM32>\taskkill.exe' /F /IM idaq64.exe
- '<SYSTEM32>\taskkill.exe' /F /IM tshark.exe
- '<SYSTEM32>\taskkill.exe' /F /IM die.exe
- '<SYSTEM32>\taskkill.exe' /F /IM x64dbg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM procmon.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ghidra.exe
- '<SYSTEM32>\taskkill.exe' /F /IM procexp64.exe
- '<SYSTEM32>\taskkill.exe' /F /IM wireshark.exe
- '<SYSTEM32>\taskkill.exe' /F /IM dumpcap.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ilspy.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ghidrarun.exe
- '<SYSTEM32>\taskkill.exe' /F /IM idaq.exe
- '<SYSTEM32>\taskkill.exe' /F /IM dllinjector.exe
- '<SYSTEM32>\taskkill.exe' /F /IM mitmproxy.exe
- '<SYSTEM32>\taskkill.exe' /F /IM x32dbg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM frida.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ida64.exe
- '<SYSTEM32>\taskkill.exe' /F /IM httpdebuggerui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM windbg.exe
- '<SYSTEM32>\taskkill.exe' /F /IM pestudio.exe
- '<SYSTEM32>\taskkill.exe' /F /IM dnspy.exe
- '<SYSTEM32>\taskkill.exe' /F /IM fiddler.exe
- '<SYSTEM32>\taskkill.exe' /F /IM procexp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM processhacker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ida.exe
- '<SYSTEM32>\taskkill.exe' /F /IM charles.exe
- '<SYSTEM32>\taskkill.exe' /F /IM frida-server.exe
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\onefile_4712_134165487284167563\launcher.dll
- %TEMP%\onefile_4712_134165487284167563\_bz2.pyd
- %TEMP%\onefile_4712_134165487284167563\_ctypes.pyd
- %TEMP%\onefile_4712_134165487284167563\_decimal.pyd
- %TEMP%\onefile_4712_134165487284167563\_hashlib.pyd
- %TEMP%\onefile_4712_134165487284167563\_lzma.pyd
- %TEMP%\onefile_4712_134165487284167563\_socket.pyd
- %TEMP%\onefile_4712_134165487284167563\_ssl.pyd
- %TEMP%\onefile_4712_134165487284167563\libcrypto-3.dll
- %TEMP%\onefile_4712_134165487284167563\libffi-8.dll
- %TEMP%\onefile_4712_134165487284167563\libssl-3.dll
- %TEMP%\onefile_4712_134165487284167563\python311.dll
- %TEMP%\onefile_4712_134165487284167563\select.pyd
- %TEMP%\onefile_4712_134165487284167563\unicodedata.pyd
- %TEMP%\onefile_4712_134165487284167563\vcruntime140.dll
Сетевая активность
Подключается к
- 'dl.###emevip.win':443
TCP
Другие
- 'dl.###emevip.win':443
UDP
- DNS ASK dl.###emevip.win
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c
- '<SYSTEM32>\tasklist.exe' /FO CSV /NH (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM objection.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ollydbg.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM cheatengine.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM burpsuite.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM dotpeek.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM cheatengine-x86_64.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM extremeinjector.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM cheatengine-i386.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM idaq64.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM tshark.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM die.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM x64dbg.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM procmon.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ghidra.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM procexp64.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM wireshark.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM dumpcap.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ilspy.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ghidrarun.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM idaq.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM dllinjector.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM mitmproxy.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM x32dbg.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM frida.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ida64.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM httpdebuggerui.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM windbg.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM pestudio.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM dnspy.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM fiddler.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM procexp.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM processhacker.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ida.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM charles.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM frida-server.exe (со скрытым окном)
