Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Masontmpf1k4j_x1' = '%APPDATA%\Masontmpf1k4j_x1.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\masontmpf1k4j_x1
Вредоносные функции
Загружает файлы и запускает на исполнение.
Патчит код
в динамической библиотеке AMSI
- Процесс tmpf1k4j_x1.exe, модуль Amsi.dll
- Процесс masontmpf1k4j_x1.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс tmpf1k4j_x1.exe, модуль ntdll.dll
- Процесс masontmpf1k4j_x1.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei53362\vcruntime140.dll
- %TEMP%\_mei53362\_bz2.pyd
- %TEMP%\_mei53362\_decimal.pyd
- %TEMP%\_mei53362\_hashlib.pyd
- %TEMP%\_mei53362\_lzma.pyd
- %TEMP%\_mei53362\_socket.pyd
- %TEMP%\_mei53362\_ssl.pyd
- %TEMP%\_mei53362\_zstd.pyd
- %TEMP%\_mei53362\base_library.zip
- %TEMP%\_mei53362\libcrypto-3.dll
- %TEMP%\_mei53362\libssl-3.dll
- %TEMP%\_mei53362\payload.bin
- %TEMP%\_mei53362\python314.dll
- %TEMP%\_mei53362\select.pyd
- %TEMP%\_mei53362\unicodedata.pyd
- %TEMP%\wli4fmy3
- %TEMP%\tmpf1k4j_x1.exe
- %APPDATA%\89715
- %APPDATA%\masontmpf1k4j_x1.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\tmpf1k4j_x1.exe.log
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\masontmpf1k4j_x1.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\wli4fmy3
- %TEMP%\tmpf1k4j_x1.exe
- %TEMP%\_mei53362\base_library.zip
- %TEMP%\_mei53362\libcrypto-3.dll
- %TEMP%\_mei53362\libssl-3.dll
- %TEMP%\_mei53362\payload.bin
- %TEMP%\_mei53362\python314.dll
- %TEMP%\_mei53362\select.pyd
- %TEMP%\_mei53362\unicodedata.pyd
- %TEMP%\_mei53362\vcruntime140.dll
- %TEMP%\_mei53362\_bz2.pyd
- %TEMP%\_mei53362\_decimal.pyd
- %TEMP%\_mei53362\_hashlib.pyd
- %TEMP%\_mei53362\_lzma.pyd
- %TEMP%\_mei53362\_socket.pyd
- %TEMP%\_mei53362\_ssl.pyd
- %TEMP%\_mei53362\_zstd.pyd
Сетевая активность
Подключается к
- 'ip##pi.com':80
- 'ra#.####ubusercontent.com':443
- 'fa####alma.ddns.net':8080
TCP
Запросы HTTP GET
- http://ip##pi.com/line/?fi############
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ip##pi.com
- DNS ASK ra#.####ubusercontent.com
- DNS ASK fa####alma.ddns.net
Другое
Создает и запускает на исполнение
- '%TEMP%\tmpf1k4j_x1.exe'
- '%APPDATA%\masontmpf1k4j_x1.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\tmpf1k4j_x1.exe" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "Masontmpf1k4j_x1" /tr "%APPDATA%\Masontmpf1k4j_x1.exe" (со скрытым окном)
- '%APPDATA%\masontmpf1k4j_x1.exe' (со скрытым окном)
