Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'fQNsZvucBQZE' = '"<Полный путь к файлу>"'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\systemvolumeinformation\<Имя файла>.exe
- <Имя диска съемного носителя>:\autorun.inf
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei00000be82\vcruntime140.dll
- %TEMP%\_mei00000be82\vcruntime140_1.dll
- %TEMP%\_mei00000be82\_bz2.pyd
- %TEMP%\_mei00000be82\_ctypes.pyd
- %TEMP%\_mei00000be82\_decimal.pyd
- %TEMP%\_mei00000be82\_hashlib.pyd
- %TEMP%\_mei00000be82\_lzma.pyd
- %TEMP%\_mei00000be82\_multiprocessing.pyd
- %TEMP%\_mei00000be82\_queue.pyd
- %TEMP%\_mei00000be82\_socket.pyd
- %TEMP%\_mei00000be82\_ssl.pyd
- %TEMP%\_mei00000be82\_wmi.pyd
- %TEMP%\_mei00000be82\_zstd.pyd
- %TEMP%\_mei00000be82\base_library.zip
- %TEMP%\_mei00000be82\certifi\cacert.pem
- %TEMP%\_mei00000be82\charset_normalizer\cd.cp314-win_amd64.pyd
- %TEMP%\_mei00000be82\charset_normalizer\md.cp314-win_amd64.pyd
- %TEMP%\_mei00000be82\libcrypto-3.dll
- %TEMP%\_mei00000be82\libffi-8.dll
- %TEMP%\_mei00000be82\libssl-3.dll
- %TEMP%\_mei00000be82\pyexpat.pyd
- %TEMP%\_mei00000be82\python314.dll
- %TEMP%\_mei00000be82\select.pyd
- %TEMP%\_mei00000be82\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei00000be82\unicodedata.pyd
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\systemvolumeinformation\<Имя файла>.exe
- <Имя диска съемного носителя>:\autorun.inf
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +h +s "F:SystemVolumeInformation"
- '<SYSTEM32>\attrib.exe' +h +s "F:SystemVolumeInformation"
- '<SYSTEM32>\cmd.exe' /c attrib +h +s "F:SystemVolumeInformation\<Имя файла>.exe"
- '<SYSTEM32>\attrib.exe' +h +s "F:SystemVolumeInformation\<Имя файла>.exe"
- '<SYSTEM32>\cmd.exe' /c attrib +h +s "F:autorun.inf"
- '<SYSTEM32>\attrib.exe' +h +s "F:autorun.inf"
