Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei55802\vcruntime140.dll
- %TEMP%\_mei55802\_bz2.pyd
- %TEMP%\_mei55802\_cffi_backend.cp314-win_amd64.pyd
- %TEMP%\_mei55802\_ctypes.pyd
- %TEMP%\_mei55802\_decimal.pyd
- %TEMP%\_mei55802\_hashlib.pyd
- %TEMP%\_mei55802\_lzma.pyd
- %TEMP%\_mei55802\_socket.pyd
- %TEMP%\_mei55802\_ssl.pyd
- %TEMP%\_mei55802\_zstd.pyd
- %TEMP%\_mei55802\base_library.zip
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei55802\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei55802\libcrypto-3.dll
- %TEMP%\_mei55802\libffi-8.dll
- %TEMP%\_mei55802\libssl-3.dll
- %TEMP%\_mei55802\python3.dll
- %TEMP%\_mei55802\python314.dll
- %TEMP%\_mei55802\select.pyd
- %TEMP%\_mei55802\unicodedata.pyd
- %TEMP%\tvk1tli9
- %LOCALAPPDATA%\microsoft\windows\runtimebroker.exe
- %TEMP%\_mei51882\vcruntime140.dll
- %TEMP%\_mei51882\_bz2.pyd
- %TEMP%\_mei51882\_cffi_backend.cp314-win_amd64.pyd
- %TEMP%\_mei51882\_ctypes.pyd
- %TEMP%\_mei51882\_decimal.pyd
- %TEMP%\_mei51882\_hashlib.pyd
- %TEMP%\_mei51882\_lzma.pyd
- %TEMP%\_mei51882\_socket.pyd
- %TEMP%\_mei51882\_ssl.pyd
- %TEMP%\_mei51882\_zstd.pyd
- %TEMP%\_mei51882\base_library.zip
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei51882\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei51882\libcrypto-3.dll
- %TEMP%\_mei51882\libffi-8.dll
- %TEMP%\_mei51882\libssl-3.dll
- %TEMP%\_mei51882\python3.dll
- %TEMP%\_mei51882\python314.dll
- %TEMP%\_mei51882\select.pyd
- %TEMP%\_mei51882\unicodedata.pyd
- %TEMP%\su77go7k
- %TEMP%\_test_93824.tmp
- %LOCALAPPDATA%\microsoft\windows\caches\winmonitorahfr.exe
- %TEMP%\content\4048-712-winmonitorahfr.exe-22-08-15-502.dump
- nul
- %TEMP%\del.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\runtimebroker.exe
- %LOCALAPPDATA%\microsoft\windows\caches\winmonitorahfr.exe
Удаляет файлы, которые сам же создал
- %TEMP%\tvk1tli9
- %TEMP%\_mei55802\base_library.zip
- %TEMP%\_mei55802\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei55802\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei55802\libcrypto-3.dll
- %TEMP%\_mei55802\libffi-8.dll
- %TEMP%\_mei55802\libssl-3.dll
- %TEMP%\_mei55802\python3.dll
- %TEMP%\_mei55802\python314.dll
- %TEMP%\_mei55802\select.pyd
- %TEMP%\_mei55802\unicodedata.pyd
- %TEMP%\_mei55802\vcruntime140.dll
- %TEMP%\_mei55802\_bz2.pyd
- %TEMP%\_mei55802\_cffi_backend.cp314-win_amd64.pyd
- %TEMP%\_mei55802\_ctypes.pyd
- %TEMP%\_mei55802\_decimal.pyd
- %TEMP%\_mei55802\_hashlib.pyd
- %TEMP%\_mei55802\_lzma.pyd
- %TEMP%\_mei55802\_socket.pyd
- %TEMP%\_mei55802\_ssl.pyd
- %TEMP%\_mei55802\_zstd.pyd
- %TEMP%\su77go7k
- %TEMP%\_test_93824.tmp
- %LOCALAPPDATA%\microsoft\windows\caches\winmonitorahfr.exe
- %LOCALAPPDATA%\microsoft\windows\runtimebroker.exe
- %TEMP%\_mei51882\base_library.zip
- %TEMP%\_mei51882\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei51882\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei51882\libcrypto-3.dll
- %TEMP%\_mei51882\libffi-8.dll
- %TEMP%\_mei51882\libssl-3.dll
- %TEMP%\_mei51882\python3.dll
- %TEMP%\_mei51882\python314.dll
- %TEMP%\_mei51882\select.pyd
- %TEMP%\_mei51882\unicodedata.pyd
- %TEMP%\_mei51882\vcruntime140.dll
- %TEMP%\_mei51882\_bz2.pyd
- %TEMP%\_mei51882\_cffi_backend.cp314-win_amd64.pyd
- %TEMP%\_mei51882\_ctypes.pyd
- %TEMP%\_mei51882\_decimal.pyd
- %TEMP%\_mei51882\_hashlib.pyd
- %TEMP%\_mei51882\_lzma.pyd
- %TEMP%\_mei51882\_socket.pyd
- %TEMP%\_mei51882\_ssl.pyd
- %TEMP%\_mei51882\_zstd.pyd
Сетевая активность
Подключается к
- 'sa#####ach.ooguy.com':55441
- 'dv#.##eworkpc.com':7788
- 'dv#.##eworkpc.com':55441
UDP
- DNS ASK sa#####ach.ooguy.com
- DNS ASK dv#.##eworkpc.com
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\windows\runtimebroker.exe'
- '%LOCALAPPDATA%\microsoft\windows\caches\winmonitorahfr.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\del.bat" (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '%LOCALAPPDATA%\microsoft\windows\caches\winmonitorahfr.exe' (со скрытым окном)
