Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\AmneziaWGManager] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\AmneziaWGManager] 'ImagePath' = '"%ProgramFiles%\AmneziaWG\amneziawg.exe" /managerservice'
Создает следующие сервисы
- 'AmneziaWGManager' %ProgramFiles%\AmneziaWGmneziawg.exe" /managerservic
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei43402\vcruntime140.dll
- %TEMP%\_mei43402\_bz2.pyd
- %TEMP%\_mei43402\_decimal.pyd
- %TEMP%\_mei43402\_hashlib.pyd
- %TEMP%\_mei43402\_lzma.pyd
- %TEMP%\_mei43402\_socket.pyd
- %TEMP%\_mei43402\_ssl.pyd
- %TEMP%\_mei43402\_zstd.pyd
- %TEMP%\_mei43402\base_library.zip
- %TEMP%\_mei43402\libcrypto-3.dll
- %TEMP%\_mei43402\libssl-3.dll
- %TEMP%\_mei43402\python314.dll
- %TEMP%\_mei43402\select.pyd
- %TEMP%\_mei43402\unicodedata.pyd
- %TEMP%\e7h35ivz
- %TEMP%\agent64_tn6mg4z1\amneziawg--amd64-2.0.1.exe
- %TEMP%\agent64_tn6mg4z1\primary.exe
- %TEMP%\rarsfx0\amneziawg_setup.exe
- %TEMP%\rarsfx0\amneziawg amd.msi
- %APPDATA%\windowsupdate\windows defender smartscreen.exe
- %WINDIR%\temp\~dfb7dbe37013742769.tmp
- %WINDIR%\installer\sourcehash{6eb7d10c-0322-4b78-9623-933b648b1ec0}
- %WINDIR%\temp\~dff72083c9ced71daf.tmp
- %WINDIR%\temp\~df260573d31d8a4475.tmp
- %WINDIR%\temp\~dfee01bd029a025b5a.tmp
- %ProgramFiles%\amneziawg\amneziawg.exe
- %ProgramFiles%\amneziawg\awg.exe
- %ProgramFiles%\amneziawg\wintun.dll
- %WINDIR%\installer\{6eb7d10c-0322-4b78-9623-933b648b1ec0}\wireguard.ico
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\amneziawg.lnk
- %WINDIR%\temp\~df3b522ba7c66bbc1b.tmp
- %WINDIR%\temp\~dfe3cf28c1603469d9.tmp
- %WINDIR%\temp\~df61a83d43411d8965.tmp
- %WINDIR%\temp\~df5967f953d625348c.tmp
- %WINDIR%\temp\~dfe91a8c33eae9557e.tmp
- %WINDIR%\temp\~dfb74da64356749f8a.tmp
- %WINDIR%\temp\~dfbec9ac52a8ff6067.tmp
- %WINDIR%\temp\~df306f88a6b2999f8a.tmp
- %WINDIR%\temp\~df535d486d7b789761.tmp
- %WINDIR%\temp\~df2976dd603ebdb9c1.tmp
- %ProgramFiles%\amneziawg\data\log.bin
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\windowsupdate\windows defender smartscreen.exe
Удаляет файлы, которые сам же создал
- %TEMP%\e7h35ivz
- %TEMP%\_mei43402\base_library.zip
- %TEMP%\_mei43402\libcrypto-3.dll
- %TEMP%\_mei43402\libssl-3.dll
- %TEMP%\_mei43402\python314.dll
- %TEMP%\_mei43402\select.pyd
- %TEMP%\_mei43402\unicodedata.pyd
- %TEMP%\_mei43402\vcruntime140.dll
- %TEMP%\_mei43402\_bz2.pyd
- %TEMP%\_mei43402\_decimal.pyd
- %TEMP%\_mei43402\_hashlib.pyd
- %TEMP%\_mei43402\_lzma.pyd
- %TEMP%\_mei43402\_socket.pyd
- %TEMP%\_mei43402\_ssl.pyd
- %TEMP%\_mei43402\_zstd.pyd
Сетевая активность
Подключается к
- 'pa###bin.com':443
- '15#.#41.70.38':9090
- 'do#####d.wireguard.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'pa###bin.com':443
- '15#.#41.70.38':9090
- 'do#####d.wireguard.com':443
UDP
- DNS ASK pa###bin.com
- DNS ASK do#####d.wireguard.com
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
- ClassName: 'AmneziaWG UI - Manage Tunnels' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\agent64_tn6mg4z1\amneziawg--amd64-2.0.1.exe'
- '%TEMP%\agent64_tn6mg4z1\primary.exe'
- '%TEMP%\rarsfx0\amneziawg_setup.exe'
- '%APPDATA%\windowsupdate\windows defender smartscreen.exe'
- '%ProgramFiles%\amneziawg\amneziawg.exe'
- '%ProgramFiles%\amneziawg\amneziawg.exe' /installmanagerservice
- '%ProgramFiles%\amneziawg\amneziawg.exe' /managerservice
- '%ProgramFiles%\amneziawg\amneziawg.exe' /ui 892 852 900 908
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /i "%TEMP%\RarSFX0\amneziawg amd.msi"
