Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei39442\81d243bd2c585b0f4821__mypyc.cp311-win_amd64.pyd
- %TEMP%\_mei39442\crypto\cipher\_arc4.pyd
- %TEMP%\_mei39442\crypto\cipher\_salsa20.pyd
- %TEMP%\_mei39442\crypto\cipher\_chacha20.pyd
- %TEMP%\_mei39442\crypto\cipher\_pkcs1_decode.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_aes.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_aesni.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_arc2.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_blowfish.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_cast.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_cbc.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_cfb.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_ctr.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_des.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_des3.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_ecb.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_eksblowfish.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_ocb.pyd
- %TEMP%\_mei39442\crypto\cipher\_raw_ofb.pyd
- %TEMP%\_mei39442\crypto\hash\_blake2b.pyd
- %TEMP%\_mei39442\crypto\hash\_blake2s.pyd
- %TEMP%\_mei39442\crypto\hash\_md2.pyd
- %TEMP%\_mei39442\crypto\hash\_md4.pyd
- %TEMP%\_mei39442\crypto\hash\_md5.pyd
- %TEMP%\_mei39442\crypto\hash\_ripemd160.pyd
- %TEMP%\_mei39442\crypto\hash\_sha1.pyd
- %TEMP%\_mei39442\crypto\hash\_sha224.pyd
- %TEMP%\_mei39442\crypto\hash\_sha256.pyd
- %TEMP%\_mei39442\crypto\hash\_sha384.pyd
- %TEMP%\_mei39442\crypto\hash\_sha512.pyd
- %TEMP%\_mei39442\crypto\hash\_ghash_clmul.pyd
- %TEMP%\_mei39442\crypto\hash\_ghash_portable.pyd
- %TEMP%\_mei39442\crypto\hash\_keccak.pyd
- %TEMP%\_mei39442\crypto\hash\_poly1305.pyd
- %TEMP%\_mei39442\crypto\math\_modexp.pyd
- %TEMP%\_mei39442\crypto\protocol\_scrypt.pyd
- %TEMP%\_mei39442\crypto\publickey\_curve25519.pyd
- %TEMP%\_mei39442\crypto\publickey\_curve448.pyd
- %TEMP%\_mei39442\crypto\publickey\_ec_ws.pyd
- %TEMP%\_mei39442\crypto\publickey\_ed25519.pyd
- %TEMP%\_mei39442\crypto\publickey\_ed448.pyd
- %TEMP%\_mei39442\crypto\util\_cpuid_c.pyd
- %TEMP%\_mei39442\crypto\util\_strxor.pyd
- %TEMP%\_mei39442\vcruntime140.dll
- %TEMP%\_mei39442\vcruntime140_1.dll
- %TEMP%\_mei39442\_asyncio.pyd
- %TEMP%\_mei39442\_bz2.pyd
- %TEMP%\_mei39442\_ctypes.pyd
- %TEMP%\_mei39442\_decimal.pyd
- %TEMP%\_mei39442\_hashlib.pyd
- %TEMP%\_mei39442\_lzma.pyd
- %TEMP%\_mei39442\_multiprocessing.pyd
- %TEMP%\_mei39442\_overlapped.pyd
- %TEMP%\_mei39442\_queue.pyd
- %TEMP%\_mei39442\_socket.pyd
- %TEMP%\_mei39442\_sqlite3.pyd
- %TEMP%\_mei39442\_ssl.pyd
- %TEMP%\_mei39442\base_library.zip
- %TEMP%\_mei39442\certifi\cacert.pem
- %TEMP%\_mei39442\charset_normalizer\cd.cp311-win_amd64.pyd
- %TEMP%\_mei39442\charset_normalizer\md.cp311-win_amd64.pyd
- %TEMP%\_mei39442\libcrypto-1_1.dll
- %TEMP%\_mei39442\libffi-8.dll
- %TEMP%\_mei39442\libssl-1_1.dll
- %TEMP%\_mei39442\pyexpat.pyd
- %TEMP%\_mei39442\python311.dll
- %TEMP%\_mei39442\pywin32_system32\pywintypes311.dll
- %TEMP%\_mei39442\select.pyd
- %TEMP%\_mei39442\sqlite3.dll
- %TEMP%\_mei39442\unicodedata.pyd
- %TEMP%\_mei39442\win32\win32crypt.pyd
- %TEMP%\_v7itre6
- %TEMP%\serviceupdate_1036.exe
- %TEMP%\nsn784e.tmp
- %TEMP%\nsd785f.tmp\newtonsoft.json.dll
- %TEMP%\nsd785f.tmp\vpn.webinstaller.common.dll
- %TEMP%\nsd785f.tmp\betternet.webinstaller.exe.config
- %TEMP%\nsd785f.tmp\betternet.webinstaller.exe
- %APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\key4_temp.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\passwords.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\history.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\credit_cards.db
- %LOCALAPPDATA%\microsoft\edge\user data\default\webdata.db
- %LOCALAPPDATA%\bunny\history\msedge - default.txt
- %LOCALAPPDATA%\bunny\autofills\autofills.txt
- %LOCALAPPDATA%\bunny\wallets\wallet_processing_summary.json
- nul
- %TEMP%\tmpdaxxszd3.ps1
- %TEMP%\betternet.webinstaller_8.6.0.1290_20260512160744.log
- %TEMP%\tmpdae0.tmp
- %TEMP%\tmpdb3e.tmp
- %TEMP%\tmpdb4f.tmp
- %TEMP%\tmpdb50.tmp
- %LOCALAPPDATA%\bunny\screenshot.png
- %LOCALAPPDATA%\[185.93.40.66][xx]16-07-37-12-05-26.zip
- %TEMP%\1d1d2fd8.exe
- %TEMP%\nsl631c.tmp\system.dll
- %TEMP%\nsl631c.tmp\betternet-8.15.1.msi
- %TEMP%\betternet-8.15.1.log
- %TEMP%\msi22150\betternet.wixinstaller.embeddedui.ca.dll
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\betternet.webinstaller.exe.log
- %TEMP%\msi22150\betternet.wixinstaller.embeddedui.dll
- %TEMP%\msi22150\embeddedui.config
- %TEMP%\msi22150\foundation.bcl.dll
- %TEMP%\msi22150\foundation.composition.dll
- %TEMP%\msi22150\foundation.composition.lightinject.dll
- %TEMP%\msi22150\foundation.installer.common.dll
- %TEMP%\msi22150\foundation.installer.customactions.dll
- %TEMP%\msi22150\foundation.installer.ui.dll
- %TEMP%\msi22150\foundation.installer.wixinstaller.dll
- %TEMP%\msi22150\foundation.installer.wixsharp.dll
- %TEMP%\msi22150\foundation.logging.dll
- %TEMP%\msi22150\foundation.logging.dummy.dll
- %TEMP%\msi22150\microsoft.bcl.asyncinterfaces.dll
- %TEMP%\msi22150\microsoft.deployment.windowsinstaller.dll
- %TEMP%\msi22150\newtonsoft.json.dll
- %TEMP%\msi22150\system.runtime.compilerservices.unsafe.dll
- %TEMP%\msi22150\system.threading.tasks.extensions.dll
- %TEMP%\msi22150\trinet.core.io.ntfs.dll
- %TEMP%\msi22150\vpn.wixinstaller.common.dll
- %TEMP%\msi22150\vpn.wixinstaller.embeddedui.dll
- %TEMP%\msi22150\wixsharp.dll
- %TEMP%\msi22150\windowsbase.dll
- %TEMP%\tmp8cca.tmp
- %TEMP%\tmp8d48.tmp
- %TEMP%\tmp8d59.tmp
- %TEMP%\tmp8d5a.tmp
- %ALLUSERSPROFILE%\betternet\user\rep\events.raw
Удаляет файлы, которые сам же создал
- %TEMP%\_v7itre6
- %TEMP%\tmpdae0.tmp
- %TEMP%\tmpdb3e.tmp
- %TEMP%\tmpdb4f.tmp
- %TEMP%\tmpdb50.tmp
- %TEMP%\tmpdaxxszd3.ps1
- %TEMP%\nsd785f.tmp\betternet.webinstaller.exe
- %TEMP%\nsd785f.tmp\betternet.webinstaller.exe.config
- %TEMP%\nsd785f.tmp\newtonsoft.json.dll
- %TEMP%\nsd785f.tmp\vpn.webinstaller.common.dll
- %TEMP%\tmp8cca.tmp
- %TEMP%\tmp8d48.tmp
- %TEMP%\tmp8d59.tmp
- %TEMP%\tmp8d5a.tmp
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'd2#######do9k9.cloudfront.net':443
- 'localhost':9876
- 'd3#######4za7n.cloudfront.net':443
- 'du#######sfsd.cloudfront.net':443
- 'd2#######jlxvm.cloudfront.net':443
- 'd3#######sxp0f.cloudfront.net':443
- 'le###adviser.us':443
- 'x1.#.lencr.org':80
- 'd1#######8e6zx.cloudfront.net':443
- 'ca##ox.moe':443
- 'ap#.#ofile.io':443
- 'ap#.##legram.org':443
- 's3.###zonaws.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?8e##############
Другие
- 'ap#.#pify.org':443
- 'd2#######do9k9.cloudfront.net':443
- 'd3#######4za7n.cloudfront.net':443
- 'du#######sfsd.cloudfront.net':443
- 'd2#######jlxvm.cloudfront.net':443
- 'd3#######sxp0f.cloudfront.net':443
- 'le###adviser.us':443
- 'd1#######8e6zx.cloudfront.net':443
- 'ca##ox.moe':443
- 'ap#.#ofile.io':443
- 's3.###zonaws.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK d2#######do9k9.cloudfront.net
- DNS ASK d3#######4za7n.cloudfront.net
- DNS ASK du#######sfsd.cloudfront.net
- DNS ASK d2#######jlxvm.cloudfront.net
- DNS ASK d3#######sxp0f.cloudfront.net
- DNS ASK le###adviser.us
- DNS ASK x1.#.lencr.org
- DNS ASK d1#######8e6zx.cloudfront.net
- DNS ASK ca##ox.moe
- DNS ASK ap#.#ofile.io
- DNS ASK ap#.##legram.org
- DNS ASK s3.###zonaws.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\serviceupdate_1036.exe'
- '%TEMP%\nsd785f.tmp\betternet.webinstaller.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -File %TEMP%\tmpdaxxszd3.ps1
- '%TEMP%\1d1d2fd8.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --remote-debugging-port=9876 "--user-data-dir=%LOCALAPPDATA%\Microsoft\Edge\User Data" --profile-directory=Default --remote-allow-origins=* --headless=new --disable-gpu --no-sandbox
- '%WINDIR%\syswow64\msiexec.exe' /I "%TEMP%\nsl631C.tmp\Betternet-8.15.1.msi" /L*V "%TEMP%\Betternet-8.15.1.log" EXEPATH="%TEMP%\1D1D2FD8.exe" DIST_CHANNEL=1
