Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '<Полный путь к файлу>'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei9562\81d243bd2c585b0f4821__mypyc.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_avif.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imaging.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imagingcms.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imagingmath.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imagingtk.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_webp.cp314-win_amd64.pyd
- %TEMP%\_mei9562\vcruntime140.dll
- %TEMP%\_mei9562\vcruntime140_1.dll
- %TEMP%\_mei9562\_asyncio.pyd
- %TEMP%\_mei9562\_bz2.pyd
- %TEMP%\_mei9562\_ctypes.pyd
- %TEMP%\_mei9562\_decimal.pyd
- %TEMP%\_mei9562\_elementtree.pyd
- %TEMP%\_mei9562\_hashlib.pyd
- %TEMP%\_mei9562\_lzma.pyd
- %TEMP%\_mei9562\_multiprocessing.pyd
- %TEMP%\_mei9562\_overlapped.pyd
- %TEMP%\_mei9562\_queue.pyd
- %TEMP%\_mei9562\_socket.pyd
- %TEMP%\_mei9562\_sqlite3.pyd
- %TEMP%\_mei9562\_ssl.pyd
- %TEMP%\_mei9562\_wmi.pyd
- %TEMP%\_mei9562\_zstd.pyd
- %TEMP%\_mei9562\base_library.zip
- %TEMP%\_mei9562\certifi\cacert.pem
- %TEMP%\_mei9562\charset_normalizer\cd.cp314-win_amd64.pyd
- %TEMP%\_mei9562\charset_normalizer\md.cp314-win_amd64.pyd
- %TEMP%\_mei9562\libcrypto-3.dll
- %TEMP%\_mei9562\libffi-8.dll
- %TEMP%\_mei9562\libssl-3.dll
- %TEMP%\_mei9562\psutil\_psutil_windows.pyd
- %TEMP%\_mei9562\pyexpat.pyd
- %TEMP%\_mei9562\python3.dll
- %TEMP%\_mei9562\python314.dll
- %TEMP%\_mei9562\pywin32_system32\pywintypes314.dll
- %TEMP%\_mei9562\select.pyd
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\installer
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\metadata
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\record
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\wheel
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\licenses\license
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\top_level.txt
- %TEMP%\_mei9562\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei9562\sqlite3.dll
- %TEMP%\_mei9562\unicodedata.pyd
- %TEMP%\_mei9562\win32\win32crypt.pyd
- %TEMP%\stealdata_1783385729\system_info.txt
- %TEMP%\stealdata_1783385729\location.txt
- %TEMP%\stealdata_1783385729\wifi_passwords.txt
- %TEMP%\stealdata_1783385729\discord_tokens.txt
- %TEMP%\stealdata_1783385729\crypto_wallets.txt
- %TEMP%\logins_temp.db
- %TEMP%\stealdata_1783385729\browser_passwords.txt
- %TEMP%\cookies_temp.db
- %TEMP%\stealdata_1783385729\browser_cookies.txt
- %TEMP%\webdata_temp.db
- %TEMP%\stealdata_1783385729\autofill_data.txt
- %TEMP%\history_temp.db
- %TEMP%\stealdata_1783385729\browser_history.txt
- %TEMP%\stealdata_1783385729\installed_software.txt
- %TEMP%\stealdata_1783385729\running_processes.txt
- %TEMP%\stealdata_1783385729\screenshot.png
- %TEMP%\stealdata_1783385755.zip
- %TEMP%\del.bat
Удаляет файлы, которые сам же создал
- %TEMP%\logins_temp.db
- %TEMP%\cookies_temp.db
- %TEMP%\webdata_temp.db
- %TEMP%\history_temp.db
- %TEMP%\stealdata_1783385729\autofill_data.txt
- %TEMP%\stealdata_1783385729\browser_cookies.txt
- %TEMP%\stealdata_1783385729\browser_history.txt
- %TEMP%\stealdata_1783385729\browser_passwords.txt
- %TEMP%\stealdata_1783385729\crypto_wallets.txt
- %TEMP%\stealdata_1783385729\discord_tokens.txt
- %TEMP%\stealdata_1783385729\installed_software.txt
- %TEMP%\stealdata_1783385729\location.txt
- %TEMP%\stealdata_1783385729\running_processes.txt
- %TEMP%\stealdata_1783385729\screenshot.png
- %TEMP%\stealdata_1783385729\system_info.txt
- %TEMP%\stealdata_1783385729\wifi_passwords.txt
- %TEMP%\_mei9562\81d243bd2c585b0f4821__mypyc.cp314-win_amd64.pyd
- %TEMP%\_mei9562\base_library.zip
- %TEMP%\_mei9562\certifi\cacert.pem
- %TEMP%\_mei9562\charset_normalizer\cd.cp314-win_amd64.pyd
- %TEMP%\_mei9562\charset_normalizer\md.cp314-win_amd64.pyd
- %TEMP%\_mei9562\libcrypto-3.dll
- %TEMP%\_mei9562\libffi-8.dll
- %TEMP%\_mei9562\libssl-3.dll
- %TEMP%\_mei9562\pil\_avif.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imaging.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imagingcms.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imagingmath.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_imagingtk.cp314-win_amd64.pyd
- %TEMP%\_mei9562\pil\_webp.cp314-win_amd64.pyd
- %TEMP%\_mei9562\psutil\_psutil_windows.pyd
- %TEMP%\_mei9562\pyexpat.pyd
- %TEMP%\_mei9562\python3.dll
- %TEMP%\_mei9562\python314.dll
- %TEMP%\_mei9562\pywin32_system32\pywintypes314.dll
- %TEMP%\_mei9562\select.pyd
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\installer
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\licenses\license
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\metadata
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\record
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\top_level.txt
- %TEMP%\_mei9562\setuptools\_vendor\importlib_metadata-8.7.1.dist-info\wheel
- %TEMP%\_mei9562\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei9562\sqlite3.dll
- %TEMP%\_mei9562\unicodedata.pyd
- %TEMP%\_mei9562\vcruntime140.dll
- %TEMP%\_mei9562\vcruntime140_1.dll
- %TEMP%\_mei9562\win32\win32crypt.pyd
- %TEMP%\_mei9562\_asyncio.pyd
- %TEMP%\_mei9562\_bz2.pyd
- %TEMP%\_mei9562\_ctypes.pyd
- %TEMP%\_mei9562\_decimal.pyd
- %TEMP%\_mei9562\_elementtree.pyd
- %TEMP%\_mei9562\_hashlib.pyd
- %TEMP%\_mei9562\_lzma.pyd
- %TEMP%\_mei9562\_multiprocessing.pyd
- %TEMP%\_mei9562\_overlapped.pyd
- %TEMP%\_mei9562\_queue.pyd
- %TEMP%\_mei9562\_socket.pyd
- %TEMP%\_mei9562\_sqlite3.pyd
- %TEMP%\_mei9562\_ssl.pyd
- %TEMP%\_mei9562\_wmi.pyd
- %TEMP%\_mei9562\_zstd.pyd
Подменяет следующие файлы
- %TEMP%\logins_temp.db
- %TEMP%\webdata_temp.db
- %TEMP%\history_temp.db
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ip##pi.com':80
- 'we###ok.site':443
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
Другие
- 'ap#.#pify.org':443
- 'we###ok.site':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
- DNS ASK we###ok.site
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "netsh wlan show profiles" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\cmd.exe' /c "wmic product get name" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' product get name
- '<SYSTEM32>\cmd.exe' /c "tasklist" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /c "start /b "" %TEMP%\del.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /K %TEMP%\del.bat
