Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '' = '<Полный путь к файлу>'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei34642\pil\_avif.cp314-win_amd64.pyd
- %TEMP%\_mei34642\pil\_imaging.cp314-win_amd64.pyd
- %TEMP%\_mei34642\pil\_imagingcms.cp314-win_amd64.pyd
- %TEMP%\_mei34642\pil\_imagingmath.cp314-win_amd64.pyd
- %TEMP%\_mei34642\pil\_imagingtk.cp314-win_amd64.pyd
- %TEMP%\_mei34642\pil\_webp.cp314-win_amd64.pyd
- %TEMP%\_mei34642\vcruntime140.dll
- %TEMP%\_mei34642\vcruntime140_1.dll
- %TEMP%\_mei34642\_bz2.pyd
- %TEMP%\_mei34642\_ctypes.pyd
- %TEMP%\_mei34642\_decimal.pyd
- %TEMP%\_mei34642\_elementtree.pyd
- %TEMP%\_mei34642\_hashlib.pyd
- %TEMP%\_mei34642\_lzma.pyd
- %TEMP%\_mei34642\_socket.pyd
- %TEMP%\_mei34642\_sqlite3.pyd
- %TEMP%\_mei34642\_ssl.pyd
- %TEMP%\_mei34642\_wmi.pyd
- %TEMP%\_mei34642\_zstd.pyd
- %TEMP%\_mei34642\base_library.zip
- %TEMP%\_mei34642\libcrypto-3.dll
- %TEMP%\_mei34642\libffi-8.dll
- %TEMP%\_mei34642\libssl-3.dll
- %TEMP%\_mei34642\pyexpat.pyd
- %TEMP%\_mei34642\python314.dll
- %TEMP%\_mei34642\pywin32_system32\pywintypes314.dll
- %TEMP%\_mei34642\select.pyd
- %TEMP%\_mei34642\sqlite3.dll
- %TEMP%\_mei34642\unicodedata.pyd
- %TEMP%\_mei34642\win32\win32api.pyd
- %TEMP%\_mei34642\win32\win32crypt.pyd
- %TEMP%\p7j4vs9c
- %TEMP%\st_kdud5k8j\.txt
- %TEMP%\st_kdud5k8j\.jpg
- %TEMP%\st_tft62p4u\.txt
- %TEMP%\st_tft62p4u\.jpg
Удаляет файлы, которые сам же создал
- %TEMP%\p7j4vs9c
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "tasklist" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /c "" (со скрытым окном)
