Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Intel(R) Platform' = '"<Полный путь к файлу>"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Intel(R) Platform' = '"<Полный путь к файлу>"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\intelplatform
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -W Hidden -EncodedCommand dAByAHkAewBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAALQBFAHgAYwBsAHUAcwBpAG8AbgBQAGEAdABoACAAJwBDADoAXABQAHIAbwBnAHIAYQBtAEQAYQB0AGEAXABJAG4AdABlAGwAJwAgAC0ARQ...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -W Hidden -EncodedCommand JABlAGEAPQAnAFMAaQBsAGUAbgB0AGwAeQBDAG8AbgB0AGkAbgB1AGUAJwA7AAoAUwBlAHQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARABpAHMAYQBiAGwAZQBSAGUAYQBsAHQAaQBtAGUATQBvAG4AaQ...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei30122\vcruntime140.dll
- %TEMP%\_mei30122\vcruntime140_1.dll
- %TEMP%\_mei30122\_asyncio.pyd
- %TEMP%\_mei30122\_bz2.pyd
- %TEMP%\_mei30122\_ctypes.pyd
- %TEMP%\_mei30122\_decimal.pyd
- %TEMP%\_mei30122\_hashlib.pyd
- %TEMP%\_mei30122\_lzma.pyd
- %TEMP%\_mei30122\_multiprocessing.pyd
- %TEMP%\_mei30122\_overlapped.pyd
- %TEMP%\_mei30122\_queue.pyd
- %TEMP%\_mei30122\_socket.pyd
- %TEMP%\_mei30122\_ssl.pyd
- %TEMP%\_mei30122\_uuid.pyd
- %TEMP%\_mei30122\_wmi.pyd
- %TEMP%\_mei30122\base_library.zip
- %TEMP%\_mei30122\libcrypto-3.dll
- %TEMP%\_mei30122\libffi-8.dll
- %TEMP%\_mei30122\libssl-3.dll
- %TEMP%\_mei30122\pyexpat.pyd
- %TEMP%\_mei30122\python312.dll
- %TEMP%\_mei30122\select.pyd
- %TEMP%\_mei30122\unicodedata.pyd
- %TEMP%\_mei30122\websockets-16.0.dist-info\installer
- %TEMP%\_mei30122\websockets-16.0.dist-info\metadata
- %TEMP%\_mei30122\websockets-16.0.dist-info\record
- %TEMP%\_mei30122\websockets-16.0.dist-info\wheel
- %TEMP%\_mei30122\websockets-16.0.dist-info\entry_points.txt
- %TEMP%\_mei30122\websockets-16.0.dist-info\licenses\license
- %TEMP%\_mei30122\websockets-16.0.dist-info\top_level.txt
- %TEMP%\_mei30122\websockets\speedups.cp312-win_amd64.pyd
- %APPDATA%\intelvs1\config.json
- %APPDATA%\intelvs1\intelvs1.log
- %TEMP%\av_wgqgd
Удаляет файлы, которые сам же создал
- %TEMP%\av_wgqgd
Сетевая активность
Подключается к
- 'localhost':49695
- 'ap#.##sterbulk.com':443
TCP
Другие
- 'localhost':49695
- 'ap#.##sterbulk.com':443
UDP
- DNS ASK ap#.##sterbulk.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "wmic baseboard get serialnumber" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' baseboard get serialnumber
- '<SYSTEM32>\schtasks.exe' /Query /TN IntelPlatform
- '<SYSTEM32>\schtasks.exe' /Create /TN IntelPlatform /TR \"<Полный путь к файлу>\" /SC ONLOGON /RL HIGHEST /F
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -W Hidden -EncodedCommand dAByAHkAewBTAGUAdAAtAFMAZQByAHYAaQBjAGUAIAAtAE4AYQBtAGUAIABXAGkAbgBEAGUAZgBlAG4AZAAgAC0AUwB0AGEAcgB0AHUAcABUAHkAcABlACAARABpAHMAYQBiAGwAZQBkACAALQBFAEEAIABTAHQAbw...
