Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSecurity' = '%APPDATA%\Microsoft\Crypto\hq2ncszg\8ysl2l7e.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\4q6jea.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei51762\vcruntime140.dll
- %TEMP%\_mei51762\_bz2.pyd
- %TEMP%\_mei51762\_decimal.pyd
- %TEMP%\_mei51762\_hashlib.pyd
- %TEMP%\_mei51762\_lzma.pyd
- %TEMP%\_mei51762\_socket.pyd
- %TEMP%\_mei51762\_ssl.pyd
- %TEMP%\_mei51762\_uuid.pyd
- %TEMP%\_mei51762\base_library.zip
- %TEMP%\_mei51762\libcrypto-1_1.dll
- %TEMP%\_mei51762\libssl-1_1.dll
- %TEMP%\_mei51762\python39.dll
- %TEMP%\_mei51762\select.pyd
- %TEMP%\_mei51762\unicodedata.pyd
- %APPDATA%\microsoft\crypto\hq2ncszg\8ysl2l7e.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\crypto\hq2ncszg\8ysl2l7e.exe
Сетевая активность
Подключается к
- '2.##.255.113':80
- '2.##.255.113':443
- 'fa###ook.com':80
- 'fz###.ttk.ru':80
- 'go###.org.ua':80
- 'go###.org.ua':443
- 'if##nfig.me':443
- 'ti##ok.com':443
- 'fa###ook.com':443
TCP
Запросы HTTP GET
- http://www.ti##ok.com/@gononstopukraine
- http://www.fa###ook.com/gononstopukraine
- http://fz###.ttk.ru/fz139/?or####################################
- http://go###.org.ua/api/halth
Другие
- '2.##.255.113':443
- 'go###.org.ua':443
- 'if##nfig.me':443
- 'ti##ok.com':443
- 'fa###ook.com':443
UDP
- DNS ASK t.#e
- DNS ASK ti##ok.com
- DNS ASK fa###ook.com
- DNS ASK fz###.ttk.ru
- DNS ASK go###.org.ua
- DNS ASK if##nfig.me
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c attrib +h +s "%APPDATA%\Microsoft\Crypto\hq2ncszg\8ysl2l7e.exe"
- '<SYSTEM32>\attrib.exe' +h +s "%APPDATA%\Microsoft\Crypto\hq2ncszg\8ysl2l7e.exe"
