Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\WindowsUpdate.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsupdate.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei51242\vcruntime140.dll
- %TEMP%\_mei51242\_bz2.pyd
- %TEMP%\_mei51242\_cffi_backend.cp311-win_amd64.pyd
- %TEMP%\_mei51242\_ctypes.pyd
- %TEMP%\_mei51242\_decimal.pyd
- %TEMP%\_mei51242\_hashlib.pyd
- %TEMP%\_mei51242\_lzma.pyd
- %TEMP%\_mei51242\_socket.pyd
- %TEMP%\_mei51242\base_library.zip
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\installer
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\metadata
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\record
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\wheel
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\licenses\license
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\licenses\license.apache
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\licenses\license.bsd
- %TEMP%\_mei51242\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei51242\libcrypto-3.dll
- %TEMP%\_mei51242\libffi-8.dll
- %TEMP%\_mei51242\psutil\_psutil_windows.pyd
- %TEMP%\_mei51242\python3.dll
- %TEMP%\_mei51242\python311.dll
- %TEMP%\_mei51242\select.pyd
- %TEMP%\_mei51242\unicodedata.pyd
- nul
Удаляет файлы, которые сам же создал
- %TEMP%\_mei51242\base_library.zip
- %TEMP%\_mei51242\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\installer
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\licenses\license
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\licenses\license.apache
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\licenses\license.bsd
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\metadata
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\record
- %TEMP%\_mei51242\cryptography-46.0.5.dist-info\wheel
- %TEMP%\_mei51242\libcrypto-3.dll
- %TEMP%\_mei51242\libffi-8.dll
- %TEMP%\_mei51242\psutil\_psutil_windows.pyd
- %TEMP%\_mei51242\python3.dll
- %TEMP%\_mei51242\python311.dll
- %TEMP%\_mei51242\select.pyd
- %TEMP%\_mei51242\unicodedata.pyd
- %TEMP%\_mei51242\vcruntime140.dll
- %TEMP%\_mei51242\_bz2.pyd
- %TEMP%\_mei51242\_cffi_backend.cp311-win_amd64.pyd
- %TEMP%\_mei51242\_ctypes.pyd
- %TEMP%\_mei51242\_decimal.pyd
- %TEMP%\_mei51242\_hashlib.pyd
- %TEMP%\_mei51242\_lzma.pyd
- %TEMP%\_mei51242\_socket.pyd
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v WindowsUpdate /t REG_SZ /d "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\WindowsUpdate.exe" /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v WindowsUpdate /t REG_SZ /d "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\WindowsUpdate.exe" /f
- '<SYSTEM32>\cmd.exe' /c "schtasks /create /tn "WindowsUpdateTask" /tr "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\WindowsUpdate.exe" /sc ONLOGON /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "WindowsUpdateTask" /tr "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\WindowsUpdate.exe" /sc ONLOGON /f
