Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\defendnot
- <SYSTEM32>\tasks\nitro5
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '<Текущая директория>'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath 'C:\Users\Public\Music\stream'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess '<SYSTEM32>\cmd.exe'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess '<SYSTEM32>\clip.exe'"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskmgr.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\taskmgr.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei24842\vcruntime140.dll
- %TEMP%\_mei24842\vcruntime140_1.dll
- %TEMP%\_mei24842\_bz2.pyd
- %TEMP%\_mei24842\_ctypes.pyd
- %TEMP%\_mei24842\_decimal.pyd
- %TEMP%\_mei24842\_hashlib.pyd
- %TEMP%\_mei24842\_lzma.pyd
- %TEMP%\_mei24842\_socket.pyd
- %TEMP%\_mei24842\_uuid.pyd
- %TEMP%\_mei24842\_wmi.pyd
- %TEMP%\_mei24842\base_library.zip
- %TEMP%\_mei24842\data_pack\defendnot.dll
- %TEMP%\_mei24842\data_pack\newhorison.sdk
- %TEMP%\_mei24842\data_pack\nitro5.js
- %TEMP%\_mei24842\data_pack\stream_a.js
- %TEMP%\_mei24842\data_pack\stream_a.xml
- %TEMP%\_mei24842\data_pack\svcup.exe
- %TEMP%\_mei24842\libcrypto-3.dll
- %TEMP%\_mei24842\libffi-8.dll
- %TEMP%\_mei24842\python313.dll
- %TEMP%\_mei24842\select.pyd
- %TEMP%\_mei24842\unicodedata.pyd
- C:\users\public\music\stream\defendnot.dll
- C:\users\public\music\stream\newhorison.sdk
- nul
- C:\users\public\music\stream\ctx.bin
- C:\users\public\music\stream\stream_a.js
- C:\users\public\music\stream\stream_a.xml
- C:\users\public\music\stream\svcup.exe
- C:\users\public\music\stream\guid
Сетевая активность
Подключается к
- 'ip##fo.io':443
- 'x1.#.lencr.org':80
- 'r1#.#.lencr.org':80
TCP
Запросы HTTP GET
- http://r1#.#.lencr.org/11.crl
Другие
- 'ip##fo.io':443
UDP
- DNS ASK ip##fo.io
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
Другое
Создает и запускает на исполнение
- 'C:\users\public\music\stream\newhorison.sdk' --name Defender --silent
- '<SYSTEM32>\wscript.exe' C:\Users\Public\Music\stream\stream_a.js
- 'C:\users\public\music\stream\svcup.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Add-MpPreference -ExclusionPath '<Текущая директория>'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Add-MpPreference -ExclusionPath 'C:\Users\Public\Music\stream'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Add-MpPreference -ExclusionProcess '<SYSTEM32>\cmd.exe'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Add-MpPreference -ExclusionProcess '<SYSTEM32>\clip.exe'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "powershell -Command "Get-MpComputerStatus | Out-Null"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-MpComputerStatus | Out-Null"
- '<SYSTEM32>\taskmgr.exe'
- '<SYSTEM32>\curl.exe' -s --max-time 3 https://ipinfo.io/country
- '<SYSTEM32>\cmd.exe' /c "schtasks /create /tn nitro5 /xml C:\Users\Public\Music\stream\stream_a.xml /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn nitro5 /xml C:\Users\Public\Music\stream\stream_a.xml /f
- 'C:\users\public\music\stream\svcup.exe' (со скрытым окном)
