Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\stingrayservice
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei22562\vcruntime140.dll
- %TEMP%\_mei22562\_bz2.pyd
- %TEMP%\_mei22562\_cffi_backend.cp314-win_amd64.pyd
- %TEMP%\_mei22562\_ctypes.pyd
- %TEMP%\_mei22562\_decimal.pyd
- %TEMP%\_mei22562\_hashlib.pyd
- %TEMP%\_mei22562\_lzma.pyd
- %TEMP%\_mei22562\_socket.pyd
- %TEMP%\_mei22562\_ssl.pyd
- %TEMP%\_mei22562\_zstd.pyd
- %TEMP%\_mei22562\base_library.zip
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\installer
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\metadata
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\record
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\wheel
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\licenses\license
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\licenses\license.apache
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\licenses\license.bsd
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\sboms\cryptography-rust.cyclonedx.json
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\sboms\sbom.json
- %TEMP%\_mei22562\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei22562\libcrypto-3.dll
- %TEMP%\_mei22562\libffi-8.dll
- %TEMP%\_mei22562\libssl-3.dll
- %TEMP%\_mei22562\python3.dll
- %TEMP%\_mei22562\python314.dll
- %TEMP%\_mei22562\select.pyd
- %TEMP%\_mei22562\unicodedata.pyd
- <Текущая директория>\private_key.pem
- %HOMEPATH%\desktop\debug_log.txt
- %HOMEPATH%\desktop\system_recovery_info.txt
Удаляет файлы, которые сам же создал
- %TEMP%\_mei22562\base_library.zip
- %TEMP%\_mei22562\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\installer
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\licenses\license
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\licenses\license.apache
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\licenses\license.bsd
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\metadata
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\record
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\sboms\cryptography-rust.cyclonedx.json
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\sboms\sbom.json
- %TEMP%\_mei22562\cryptography-47.0.0.dist-info\wheel
- %TEMP%\_mei22562\libcrypto-3.dll
- %TEMP%\_mei22562\libffi-8.dll
- %TEMP%\_mei22562\libssl-3.dll
- %TEMP%\_mei22562\python3.dll
- %TEMP%\_mei22562\python314.dll
- %TEMP%\_mei22562\select.pyd
- %TEMP%\_mei22562\unicodedata.pyd
- %TEMP%\_mei22562\vcruntime140.dll
- %TEMP%\_mei22562\_bz2.pyd
- %TEMP%\_mei22562\_cffi_backend.cp314-win_amd64.pyd
- %TEMP%\_mei22562\_ctypes.pyd
- %TEMP%\_mei22562\_decimal.pyd
- %TEMP%\_mei22562\_hashlib.pyd
- %TEMP%\_mei22562\_lzma.pyd
- %TEMP%\_mei22562\_socket.pyd
- %TEMP%\_mei22562\_ssl.pyd
- %TEMP%\_mei22562\_zstd.pyd
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "bcdedit /set {current} recoveryenabled No" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "bcdedit /set {current} bootstatuspolicy ignoreallfailures" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {current} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /c "schtasks /create /tn "StingrayService" /tr "'<Полный путь к файлу>' '<Полный путь к файлу>'" /sc onlogon /rl highest /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "StingrayService" /tr "'<Полный путь к файлу>' '<Полный путь к файлу>'" /sc onlogon /rl highest /f
- '<SYSTEM32>\cmd.exe' /c "vssadmin.exe delete shadows /all /quiet" (со скрытым окном)
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\SYSTEM_RECOVERY_INFO.txt
