Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SLUpdater' = 'rundll32.exe "%APPDATA%\stager.dll",Bootstrap'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\sihost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\onefile_1776_103468_e6hethtlf0g\bundler_script.dll
- %TEMP%\onefile_1776_103468_e6hethtlf0g\_bz2.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\_decimal.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\_hashlib.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\_lzma.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\_wmi.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\libcrypto-3.dll
- %TEMP%\onefile_1776_103468_e6hethtlf0g\python312.dll
- %TEMP%\onefile_1776_103468_e6hethtlf0g\select.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\unicodedata.pyd
- %TEMP%\onefile_1776_103468_e6hethtlf0g\vcruntime140.dll
- %TEMP%\onefile_1776_103468_e6hethtlf0g\vcruntime140_1.dll
- %TEMP%\mbbh_66u
- %TEMP%\kuaimiao_win.exe
- %TEMP%\234234r.exe
- %APPDATA%\stager.dll
- %TEMP%\sl_dbg.log
- %TEMP%\is-geufc.tmp\kuaimiao_win.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\mbbh_66u
Сетевая активность
Подключается к
- '<LOCALNET>.159.134':8888
Другое
Создает и запускает на исполнение
- '%TEMP%\234234r.exe'
- '%TEMP%\kuaimiao_win.exe'
- '%TEMP%\is-geufc.tmp\kuaimiao_win.tmp' /SL5="$B017E,52229164,842752,%TEMP%\kuaimiao_win.exe"
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\kuaimiao_win.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\234234r.exe" (со скрытым окном)
