Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSecurity' = '%APPDATA%\Microsoft\Crypto\luy3fjan\0b54hlki.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\86hzmw.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei37682\vcruntime140.dll
- %TEMP%\_mei37682\_bz2.pyd
- %TEMP%\_mei37682\_decimal.pyd
- %TEMP%\_mei37682\_hashlib.pyd
- %TEMP%\_mei37682\_lzma.pyd
- %TEMP%\_mei37682\_socket.pyd
- %TEMP%\_mei37682\_ssl.pyd
- %TEMP%\_mei37682\_uuid.pyd
- %TEMP%\_mei37682\base_library.zip
- %TEMP%\_mei37682\libcrypto-1_1.dll
- %TEMP%\_mei37682\libssl-1_1.dll
- %TEMP%\_mei37682\python39.dll
- %TEMP%\_mei37682\select.pyd
- %TEMP%\_mei37682\unicodedata.pyd
- %APPDATA%\microsoft\crypto\luy3fjan\0b54hlki.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\crypto\luy3fjan\0b54hlki.exe
Сетевая активность
UDP
- DNS ASK t.#e
- DNS ASK ti##ok.com
- DNS ASK fa###ook.com
- DNS ASK go###.org.ua
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c attrib +h +s "%APPDATA%\Microsoft\Crypto\luy3fjan\0b54hlki.exe"
- '<SYSTEM32>\attrib.exe' +h +s "%APPDATA%\Microsoft\Crypto\luy3fjan\0b54hlki.exe"
