Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM kometa.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM opera_gx.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM centbrowser.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM orbitum.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM 7star.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM sputnik.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM yandex.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM iridium.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM chromium.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM uran.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM epicprivacybrowser.exe /T
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei29602\crypto\cipher\_arc4.pyd
- %TEMP%\_mei29602\crypto\cipher\_salsa20.pyd
- %TEMP%\_mei29602\crypto\cipher\_chacha20.pyd
- %TEMP%\_mei29602\crypto\cipher\_pkcs1_decode.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_aes.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_aesni.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_arc2.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_blowfish.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_cast.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_cbc.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_cfb.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_ctr.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_des.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_des3.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_ecb.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_eksblowfish.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_ocb.pyd
- %TEMP%\_mei29602\crypto\cipher\_raw_ofb.pyd
- %TEMP%\_mei29602\crypto\hash\_blake2b.pyd
- %TEMP%\_mei29602\crypto\hash\_blake2s.pyd
- %TEMP%\_mei29602\crypto\hash\_md2.pyd
- %TEMP%\_mei29602\crypto\hash\_md4.pyd
- %TEMP%\_mei29602\crypto\hash\_md5.pyd
- %TEMP%\_mei29602\crypto\hash\_ripemd160.pyd
- %TEMP%\_mei29602\crypto\hash\_sha1.pyd
- %TEMP%\_mei29602\crypto\hash\_sha224.pyd
- %TEMP%\_mei29602\crypto\hash\_sha256.pyd
- %TEMP%\_mei29602\crypto\hash\_sha384.pyd
- %TEMP%\_mei29602\crypto\hash\_sha512.pyd
- %TEMP%\_mei29602\crypto\hash\_ghash_clmul.pyd
- %TEMP%\_mei29602\crypto\hash\_ghash_portable.pyd
- %TEMP%\_mei29602\crypto\hash\_keccak.pyd
- %TEMP%\_mei29602\crypto\hash\_poly1305.pyd
- %TEMP%\_mei29602\crypto\math\_modexp.pyd
- %TEMP%\_mei29602\crypto\protocol\_scrypt.pyd
- %TEMP%\_mei29602\crypto\publickey\_curve25519.pyd
- %TEMP%\_mei29602\crypto\publickey\_curve448.pyd
- %TEMP%\_mei29602\crypto\publickey\_ec_ws.pyd
- %TEMP%\_mei29602\crypto\publickey\_ed25519.pyd
- %TEMP%\_mei29602\crypto\publickey\_ed448.pyd
- %TEMP%\_mei29602\crypto\util\_cpuid_c.pyd
- %TEMP%\_mei29602\crypto\util\_strxor.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_arc4.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_salsa20.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_chacha20.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_pkcs1_decode.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_aes.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_aesni.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_arc2.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_blowfish.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_cast.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_cbc.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_cfb.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_ctr.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_des.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_des3.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_ecb.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_eksblowfish.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_ocb.pyd
- %TEMP%\_mei29602\cryptodome\cipher\_raw_ofb.pyd
- %TEMP%\_mei29602\cryptodome\hash\_blake2b.pyd
- %TEMP%\_mei29602\cryptodome\hash\_blake2s.pyd
- %TEMP%\_mei29602\cryptodome\hash\_md2.pyd
- %TEMP%\_mei29602\cryptodome\hash\_md4.pyd
- %TEMP%\_mei29602\cryptodome\hash\_md5.pyd
- %TEMP%\_mei29602\cryptodome\hash\_ripemd160.pyd
- %TEMP%\_mei29602\cryptodome\hash\_sha1.pyd
- %TEMP%\_mei29602\cryptodome\hash\_sha224.pyd
- %TEMP%\_mei29602\cryptodome\hash\_sha256.pyd
- %TEMP%\_mei29602\cryptodome\hash\_sha384.pyd
- %TEMP%\_mei29602\cryptodome\hash\_sha512.pyd
- %TEMP%\_mei29602\cryptodome\hash\_ghash_clmul.pyd
- %TEMP%\_mei29602\cryptodome\hash\_ghash_portable.pyd
- %TEMP%\_mei29602\cryptodome\hash\_keccak.pyd
- %TEMP%\_mei29602\cryptodome\hash\_poly1305.pyd
- %TEMP%\_mei29602\cryptodome\math\_modexp.pyd
- %TEMP%\_mei29602\cryptodome\protocol\_scrypt.pyd
- %TEMP%\_mei29602\cryptodome\publickey\_curve25519.pyd
- %TEMP%\_mei29602\cryptodome\publickey\_curve448.pyd
- %TEMP%\_mei29602\cryptodome\publickey\_ec_ws.pyd
- %TEMP%\_mei29602\cryptodome\publickey\_ed25519.pyd
- %TEMP%\_mei29602\cryptodome\publickey\_ed448.pyd
- %TEMP%\_mei29602\cryptodome\util\_cpuid_c.pyd
- %TEMP%\_mei29602\cryptodome\util\_strxor.pyd
- %TEMP%\_mei29602\pythonwin\mfc140u.dll
- %TEMP%\_mei29602\pythonwin\win32ui.pyd
- %TEMP%\_mei29602\vcruntime140.dll
- %TEMP%\_mei29602\vcruntime140_1.dll
- %TEMP%\_mei29602\_asyncio.pyd
- %TEMP%\_mei29602\_bz2.pyd
- %TEMP%\_mei29602\_cffi_backend.cp311-win_amd64.pyd
- %TEMP%\_mei29602\_ctypes.pyd
- %TEMP%\_mei29602\_decimal.pyd
- %TEMP%\_mei29602\_hashlib.pyd
- %TEMP%\_mei29602\_lzma.pyd
- %TEMP%\_mei29602\_multiprocessing.pyd
- %TEMP%\_mei29602\_overlapped.pyd
- %TEMP%\_mei29602\_queue.pyd
- %TEMP%\_mei29602\_socket.pyd
- %TEMP%\_mei29602\_sqlite3.pyd
- %TEMP%\_mei29602\_ssl.pyd
- %TEMP%\_mei29602\_uuid.pyd
- %TEMP%\_mei29602\aiohttp\_http_parser.cp311-win_amd64.pyd
- %TEMP%\_mei29602\aiohttp\_http_writer.cp311-win_amd64.pyd
- %TEMP%\_mei29602\aiohttp\_websocket\mask.cp311-win_amd64.pyd
- %TEMP%\_mei29602\aiohttp\_websocket\reader_c.cp311-win_amd64.pyd
- %TEMP%\_mei29602\attrs-25.4.0.dist-info\installer
- %TEMP%\_mei29602\attrs-25.4.0.dist-info\metadata
- %TEMP%\_mei29602\attrs-25.4.0.dist-info\record
- %TEMP%\_mei29602\attrs-25.4.0.dist-info\wheel
- %TEMP%\_mei29602\attrs-25.4.0.dist-info\licenses\license
- %TEMP%\_mei29602\base_library.zip
- %TEMP%\_mei29602\certifi\cacert.pem
- %TEMP%\_mei29602\charset_normalizer\md.cp311-win_amd64.pyd
- %TEMP%\_mei29602\charset_normalizer\md__mypyc.cp311-win_amd64.pyd
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei29602\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei29602\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei29602\frozenlist\_frozenlist.cp311-win_amd64.pyd
- %TEMP%\_mei29602\libcrypto-1_1.dll
- %TEMP%\_mei29602\libffi-8.dll
- %TEMP%\_mei29602\libssl-1_1.dll
- %TEMP%\_mei29602\lz4-4.4.5.dist-info\installer
- %TEMP%\_mei29602\lz4-4.4.5.dist-info\metadata
- %TEMP%\_mei29602\lz4-4.4.5.dist-info\record
- %TEMP%\_mei29602\lz4-4.4.5.dist-info\wheel
- %TEMP%\_mei29602\lz4-4.4.5.dist-info\licenses\license
- %TEMP%\_mei29602\lz4-4.4.5.dist-info\top_level.txt
- %TEMP%\_mei29602\lz4\_version.cp311-win_amd64.pyd
- %TEMP%\_mei29602\lz4\block\_block.cp311-win_amd64.pyd
- %TEMP%\_mei29602\multidict\_multidict.cp311-win_amd64.pyd
- %TEMP%\_mei29602\propcache\_helpers_c.cp311-win_amd64.pyd
- %TEMP%\_mei29602\psutil\_psutil_windows.pyd
- %TEMP%\_mei29602\pyexpat.pyd
- %TEMP%\_mei29602\python3.dll
- %TEMP%\_mei29602\python311.dll
- %TEMP%\_mei29602\pywin32_system32\pythoncom311.dll
- %TEMP%\_mei29602\pywin32_system32\pywintypes311.dll
- %TEMP%\_mei29602\select.pyd
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\installer
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\license
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\metadata
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\record
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\wheel
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\entry_points.txt
- %TEMP%\_mei29602\setuptools-65.5.0.dist-info\top_level.txt
- %TEMP%\_mei29602\sqlite3.dll
- %TEMP%\_mei29602\unicodedata.pyd
- %TEMP%\_mei29602\win32\_win32sysloader.pyd
- %TEMP%\_mei29602\win32\win32api.pyd
- %TEMP%\_mei29602\win32\win32event.pyd
- %TEMP%\_mei29602\win32\win32trace.pyd
- %TEMP%\_mei29602\win32com\shell\shell.pyd
- %TEMP%\_mei29602\yarl\_quoting_c.cp311-win_amd64.pyd
- %TEMP%\gen_py\3.11\__init__.py
- %TEMP%\gen_py\3.11\dicts.dat
- %TEMP%\xjp3ks73
- %TEMP%\tmpci2ryk1y.sqlite
- %TEMP%\tmpci2ryk1y.sqlite-shm
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\chrome\index.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\chrome\manifest.json
- %LOCALAPPDATA%\microsoft\edge\user data\default\extensions\edge\index.js
- %LOCALAPPDATA%\microsoft\edge\user data\default\extensions\edge\manifest.json
- %LOCALAPPDATA%\templxuthbdxvg.db
- %LOCALAPPDATA%\templxnszhvpfw.db
- %LOCALAPPDATA%\templxrxxeqjtx.db
- %LOCALAPPDATA%\templxxxcjsdiu.db
- %LOCALAPPDATA%\templxryszrrsq.db
- %LOCALAPPDATA%\templxysmrggqh.db
- %LOCALAPPDATA%\templxgpcpnown.db
- %TEMP%\lxpassw.txt
- %LOCALAPPDATA%\templxzlwhbcgg.db
- %LOCALAPPDATA%\templxxdlbowij.db
- %LOCALAPPDATA%\templxxdeljtrk.db
- %LOCALAPPDATA%\templxbfxxvjdk.db
- %LOCALAPPDATA%\templxwqwebhnb.db
- %LOCALAPPDATA%\templxkiwntrwb.db
- nul
- %LOCALAPPDATA%\templxiqvorvic.db
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-699e478c-1174.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-699e4790-abc.pma
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_3
Удаляет файлы, которые сам же создал
- %TEMP%\xjp3ks73
- %TEMP%\tmpci2ryk1y.sqlite-shm
- %TEMP%\tmpci2ryk1y.sqlite
- %LOCALAPPDATA%\templxuthbdxvg.db
- %LOCALAPPDATA%\templxrxxeqjtx.db
- %LOCALAPPDATA%\templxnszhvpfw.db
- %LOCALAPPDATA%\templxxxcjsdiu.db
- %LOCALAPPDATA%\templxryszrrsq.db
- %LOCALAPPDATA%\templxysmrggqh.db
- %LOCALAPPDATA%\templxgpcpnown.db
- %LOCALAPPDATA%\templxzlwhbcgg.db
- %LOCALAPPDATA%\templxxdlbowij.db
- %LOCALAPPDATA%\templxxdeljtrk.db
- %LOCALAPPDATA%\templxbfxxvjdk.db
- %LOCALAPPDATA%\templxwqwebhnb.db
- %LOCALAPPDATA%\templxkiwntrwb.db
- %LOCALAPPDATA%\templxiqvorvic.db
Изменяет следующие файлы
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'di##ord.com':443
TCP
Другие
- 'ap#.#pify.org':443
- 'di##ord.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM chrome.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM msedge.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM brave.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM firefox.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM opera.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM opera_gx.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM kometa.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM orbitum.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM centbrowser.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM 7star.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM sputnik.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM vivaldi.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM epicprivacybrowser.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM uran.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM yandex.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM iridium.exe /T >nul 2>&1" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /IM chromium.exe /T >nul 2>&1" (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' "--load-extension=%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Extensions\Edge" "--disable-extensions-except=%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Extensions\Edge" --disable-popup-...
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' https://mail.google.com https://google.com https://outlook.live.com https://yandex.com/mail/ https://mail.com/ https://mail.yahoo.com/ https://proton.me/ https://drive.google.com/
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --flag-switches-begin --flag-switches-end --do-not-de-elevate https://mail.google.com https://google.com https://outlook.live.com https://yandex.com/mail/ https://mail.com/ https://mail.yahoo.c... (со скрытым окном)
