Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei20522\vcruntime140.dll
- %TEMP%\_mei20522\vcruntime140_1.dll
- %TEMP%\_mei20522\_asyncio.pyd
- %TEMP%\_mei20522\_bz2.pyd
- %TEMP%\_mei20522\_cffi_backend.cp313-win_amd64.pyd
- %TEMP%\_mei20522\_ctypes.pyd
- %TEMP%\_mei20522\_decimal.pyd
- %TEMP%\_mei20522\_hashlib.pyd
- %TEMP%\_mei20522\_lzma.pyd
- %TEMP%\_mei20522\_multiprocessing.pyd
- %TEMP%\_mei20522\_overlapped.pyd
- %TEMP%\_mei20522\_queue.pyd
- %TEMP%\_mei20522\_socket.pyd
- %TEMP%\_mei20522\_sqlite3.pyd
- %TEMP%\_mei20522\_ssl.pyd
- %TEMP%\_mei20522\_uuid.pyd
- %TEMP%\_mei20522\_wmi.pyd
- %TEMP%\_mei20522\base_library.zip
- %TEMP%\_mei20522\bcrypt\_bcrypt.pyd
- %TEMP%\_mei20522\certifi\cacert.pem
- %TEMP%\_mei20522\charset_normalizer\md.cp313-win_amd64.pyd
- %TEMP%\_mei20522\charset_normalizer\md__mypyc.cp313-win_amd64.pyd
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\installer
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\metadata
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\record
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\wheel
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\licenses\license
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\licenses\license.apache
- %TEMP%\_mei20522\cryptography-46.0.2.dist-info\licenses\license.bsd
- %TEMP%\_mei20522\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei20522\libcrypto-3.dll
- %TEMP%\_mei20522\libffi-8.dll
- %TEMP%\_mei20522\libssl-3.dll
- %TEMP%\_mei20522\psutil\_psutil_windows.pyd
- %TEMP%\_mei20522\pyexpat.pyd
- %TEMP%\_mei20522\python3.dll
- %TEMP%\_mei20522\python313.dll
- %TEMP%\_mei20522\pywin32_system32\pywintypes313.dll
- %TEMP%\_mei20522\select.pyd
- %TEMP%\_mei20522\sqlite3.dll
- %TEMP%\_mei20522\unicodedata.pyd
- %TEMP%\_mei20522\win32\win32crypt.pyd
- %TEMP%\jgdh74w3
- %TEMP%\cs_loh5ntbu\system_info\system.json
- %TEMP%\cs_loh5ntbu\system_info\full_report.txt
- %TEMP%\cs_loh5ntbu\browsers\chrome\logins_default.db
- %TEMP%\cs_loh5ntbu\browsers\chrome\passwords_default.txt
- %TEMP%\cs_loh5ntbu\browsers\chrome\cookies_default.db
- %TEMP%\cs_loh5ntbu\browsers\chrome\cookies_default.txt
- %TEMP%\cs_loh5ntbu\browser_history\chrome_history_default.db
- %TEMP%\cs_loh5ntbu\browser_history\chrome_history_default.txt
- %TEMP%\cs_loh5ntbu\credit_cards\chrome_cc_default.db
- %TEMP%\cs_loh5ntbu\credit_cards\chrome_cc_default.txt
- %TEMP%\cs_loh5ntbu\autofill\chrome_autofill_default.db
- %TEMP%\cs_loh5ntbu\autofill\chrome_autofill_default.txt
- %TEMP%\cs_loh5ntbu\browsers\edge\logins_default.db
- %TEMP%\cs_loh5ntbu\browsers\edge\passwords_default.txt
- %TEMP%\cs_loh5ntbu\browser_history\edge_history_default.db
- %TEMP%\cs_loh5ntbu\browser_history\edge_history_default.txt
Удаляет файлы, которые сам же создал
- %TEMP%\jgdh74w3
- %TEMP%\cs_loh5ntbu\browsers\chrome\logins_default.db
- %TEMP%\cs_loh5ntbu\browsers\chrome\cookies_default.db
- %TEMP%\cs_loh5ntbu\browser_history\chrome_history_default.db
- %TEMP%\cs_loh5ntbu\credit_cards\chrome_cc_default.db
- %TEMP%\cs_loh5ntbu\autofill\chrome_autofill_default.db
- %TEMP%\cs_loh5ntbu\browsers\edge\logins_default.db
- %TEMP%\cs_loh5ntbu\browser_history\edge_history_default.db
Сетевая активность
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ic###azip.com
- DNS ASK ch#####.amazonaws.com
- DNS ASK ap#.##legram.org
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan show profiles
