Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '%APPDATA%\.cache'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei21122\vcruntime140.dll
- %TEMP%\_mei21122\variables.py
- %TEMP%\_mei21122\_asyncio.pyd
- %TEMP%\_mei21122\_bz2.pyd
- %TEMP%\_mei21122\_ctypes.pyd
- %TEMP%\_mei21122\_decimal.pyd
- %TEMP%\_mei21122\_hashlib.pyd
- %TEMP%\_mei21122\_lzma.pyd
- %TEMP%\_mei21122\_multiprocessing.pyd
- %TEMP%\_mei21122\_overlapped.pyd
- %TEMP%\_mei21122\_pytransform.dll
- %TEMP%\_mei21122\_queue.pyd
- %TEMP%\_mei21122\_socket.pyd
- %TEMP%\_mei21122\_ssl.pyd
- %TEMP%\_mei21122\_uuid.pyd
- %TEMP%\_mei21122\aiohttp\_http_parser.cp310-win_amd64.pyd
- %TEMP%\_mei21122\aiohttp\_http_writer.cp310-win_amd64.pyd
- %TEMP%\_mei21122\aiohttp\_websocket\mask.cp310-win_amd64.pyd
- %TEMP%\_mei21122\aiohttp\_websocket\reader_c.cp310-win_amd64.pyd
- %TEMP%\_mei21122\attrs-25.4.0.dist-info\installer
- %TEMP%\_mei21122\attrs-25.4.0.dist-info\metadata
- %TEMP%\_mei21122\attrs-25.4.0.dist-info\record
- %TEMP%\_mei21122\attrs-25.4.0.dist-info\wheel
- %TEMP%\_mei21122\attrs-25.4.0.dist-info\licenses\license
- %TEMP%\_mei21122\base_library.zip
- %TEMP%\_mei21122\certifi\cacert.pem
- %TEMP%\_mei21122\changepass.py
- %TEMP%\_mei21122\charset_normalizer\cd.cp310-win_amd64.pyd
- %TEMP%\_mei21122\charset_normalizer\md.cp310-win_amd64.pyd
- %TEMP%\_mei21122\checkedtokens.py
- %TEMP%\_mei21122\clipboard.py
- %TEMP%\_mei21122\directory.py
- %TEMP%\_mei21122\frozenlist\_frozenlist.cp310-win_amd64.pyd
- %TEMP%\_mei21122\geolocate.py
- %TEMP%\_mei21122\getenv.py
- %TEMP%\_mei21122\hidefile.py
- %TEMP%\_mei21122\libcrypto-1_1.dll
- %TEMP%\_mei21122\libffi-7.dll
- %TEMP%\_mei21122\libssl-1_1.dll
- %TEMP%\_mei21122\multidict\_multidict.cp310-win_amd64.pyd
- %TEMP%\_mei21122\propcache\_helpers_c.cp310-win_amd64.pyd
- %TEMP%\_mei21122\psutil\_psutil_windows.pyd
- %TEMP%\_mei21122\pyexpat.pyd
- %TEMP%\_mei21122\python3.dll
- %TEMP%\_mei21122\python310.dll
- %TEMP%\_mei21122\rawtokens.py
- %TEMP%\_mei21122\receivefile.py
- %TEMP%\_mei21122\runfile.py
- %TEMP%\_mei21122\screenshot.py
- %TEMP%\_mei21122\select.pyd
- %TEMP%\_mei21122\sendfile.py
- %TEMP%\_mei21122\shell.py
- %TEMP%\_mei21122\startup.py
- %TEMP%\_mei21122\systeminfo.py
- %TEMP%\_mei21122\tasklist.py
- %TEMP%\_mei21122\unicodedata.pyd
- %TEMP%\_mei21122\webcam.py
- %TEMP%\_mei21122\wifi.py
- %TEMP%\_mei21122\yarl\_quoting_c.cp310-win_amd64.pyd
Сетевая активность
Подключается к
- 'localhost':49694
- '1.#.1.1':53
- 'di##ord.com':443
TCP
Другие
- 'localhost':49694
- 'di##ord.com':443
UDP
- DNS ASK di##ord.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "powershell Add-MpPreference -ExclusionPath '%APPDATA%\.cache'" (со скрытым окном)
