Technical Information
Malicious functions
Executes the following
- '<SYSTEM32>\taskkill.exe' /F /IM Amigo.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Torch.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Kometa.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Orbitum.exe
- '<SYSTEM32>\taskkill.exe' /F /IM CentBrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 7Star.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Sputnik.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Vivaldi.exe
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
- '<SYSTEM32>\taskkill.exe' /F /IM EpicPrivacyBrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
- '<SYSTEM32>\taskkill.exe' /F /IM uran.exe
- '<SYSTEM32>\taskkill.exe' /F /IM yandex.exe
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe
- '<SYSTEM32>\taskkill.exe' /F /IM iridium.exe
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe
Terminates or attempts to terminate
the following user processes:
- firefox.exe
Modifies file system
Creates the following files
- %TEMP%\onefile_1832_134027858963851668\legit.exe
- %TEMP%\onefile_1832_134027858963851668\_asyncio.pyd
- %TEMP%\onefile_1832_134027858963851668\_bz2.pyd
- %TEMP%\onefile_1832_134027858963851668\_cffi_backend.pyd
- %TEMP%\onefile_1832_134027858963851668\_ctypes.pyd
- %TEMP%\onefile_1832_134027858963851668\_decimal.pyd
- %TEMP%\onefile_1832_134027858963851668\_elementtree.pyd
- %TEMP%\onefile_1832_134027858963851668\_hashlib.pyd
- %TEMP%\onefile_1832_134027858963851668\_lzma.pyd
- %TEMP%\onefile_1832_134027858963851668\_multiprocessing.pyd
- %TEMP%\onefile_1832_134027858963851668\_overlapped.pyd
- %TEMP%\onefile_1832_134027858963851668\_queue.pyd
- %TEMP%\onefile_1832_134027858963851668\_socket.pyd
- %TEMP%\onefile_1832_134027858963851668\_sqlite3.pyd
- %TEMP%\onefile_1832_134027858963851668\_ssl.pyd
- %TEMP%\onefile_1832_134027858963851668\_tkinter.pyd
- %TEMP%\onefile_1832_134027858963851668\_uuid.pyd
- %TEMP%\onefile_1832_134027858963851668\_win32sysloader.pyd
- %TEMP%\onefile_1832_134027858963851668\libcrypto-1_1.dll
- %TEMP%\onefile_1832_134027858963851668\libffi-7.dll
- %TEMP%\onefile_1832_134027858963851668\libssl-1_1.dll
- %TEMP%\onefile_1832_134027858963851668\mfc140u.dll
- %TEMP%\onefile_1832_134027858963851668\pyexpat.pyd
- %TEMP%\onefile_1832_134027858963851668\python3.dll
- %TEMP%\onefile_1832_134027858963851668\python310.dll
- %TEMP%\onefile_1832_134027858963851668\pythoncom310.dll
- %TEMP%\onefile_1832_134027858963851668\pywintypes310.dll
- %TEMP%\onefile_1832_134027858963851668\select.pyd
- %TEMP%\onefile_1832_134027858963851668\sqlite3.dll
- %TEMP%\onefile_1832_134027858963851668\tcl86t.dll
- %TEMP%\onefile_1832_134027858963851668\tk86t.dll
- %TEMP%\onefile_1832_134027858963851668\unicodedata.pyd
- %TEMP%\onefile_1832_134027858963851668\vcruntime140.dll
- %TEMP%\onefile_1832_134027858963851668\vcruntime140_1.dll
- %TEMP%\onefile_1832_134027858963851668\win32api.pyd
- %TEMP%\onefile_1832_134027858963851668\win32crypt.pyd
- %TEMP%\onefile_1832_134027858963851668\win32ui.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_salsa20.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_aes.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_aesni.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_cbc.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_cfb.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ctr.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ecb.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_eksblowfish.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ocb.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\cipher\_raw_ofb.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_blake2s.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_md5.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha1.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha224.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha256.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha384.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_sha512.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_ghash_clmul.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_ghash_portable.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\hash\_keccak.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\protocol\_scrypt.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\util\_cpuid_c.pyd
- %TEMP%\onefile_1832_134027858963851668\crypto\util\_strxor.pyd
- %TEMP%\onefile_1832_134027858963851668\pil\_imaging.pyd
- %TEMP%\onefile_1832_134027858963851668\pil\_imagingcms.pyd
- %TEMP%\onefile_1832_134027858963851668\pil\_imagingmath.pyd
- %TEMP%\onefile_1832_134027858963851668\pil\_imagingtk.pyd
- %TEMP%\onefile_1832_134027858963851668\pil\_webp.pyd
- %TEMP%\onefile_1832_134027858963851668\aiohttp\_helpers.pyd
- %TEMP%\onefile_1832_134027858963851668\aiohttp\_http_parser.pyd
- %TEMP%\onefile_1832_134027858963851668\aiohttp\_http_writer.pyd
- %TEMP%\onefile_1832_134027858963851668\aiohttp\_websocket.pyd
- %TEMP%\onefile_1832_134027858963851668\certifi\cacert.pem
- %TEMP%\onefile_1832_134027858963851668\charset_normalizer\md.pyd
- %TEMP%\onefile_1832_134027858963851668\charset_normalizer\md__mypyc.pyd
- %TEMP%\onefile_1832_134027858963851668\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\onefile_1832_134027858963851668\frozenlist\_frozenlist.pyd
- %TEMP%\onefile_1832_134027858963851668\multidict\_multidict.pyd
- %TEMP%\onefile_1832_134027858963851668\psutil\_psutil_windows.pyd
- %TEMP%\onefile_1832_134027858963851668\yarl\_helpers_c.pyd
- %TEMP%\onefile_1832_134027858963851668\yarl\_quoting_c.pyd
- %TEMP%\onefile_1832_134027858963851668\zstandard\_cffi.pyd
- %TEMP%\onefile_1832_134027858963851668\zstandard\backend_c.pyd
- %TEMP%\gen_py\3.10\__init__.py
- %TEMP%\gen_py\3.10\dicts.dat
- %TEMP%\_zkmh_09
- %TEMP%\tmpq81kcgzn\wifi\wifi passwords.txt
- %TEMP%\tmpq81kcgzn\minecraft\session info.txt
- %TEMP%\tmpq81kcgzn\minecraft\user cache.txt
- %TEMP%\tmpq81kcgzn\discord\2fa backup codes.txt
Network activity
Connects to
- 'ap#.#pify.org':443
TCP
Other
- 'ap#.#pify.org':443
UDP
- DNS ASK ap#.#pify.org
Miscellaneous
Searches for the following windows
- ClassName: '' WindowName: ''
Creates and executes the following
- '%TEMP%\onefile_1832_134027858963851668\legit.exe'
Executes the following
- '<SYSTEM32>\cmd.exe' /c "ver"
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\wbem\WMIC.exe csproduct get uuid"
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
- '<SYSTEM32>\cmd.exe' /c "netsh wlan show profiles"
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\cmd.exe' /c "ver"' (with hidden window)
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\wbem\WMIC.exe csproduct get uuid"' (with hidden window)
- '<SYSTEM32>\cmd.exe' /c "netsh wlan show profiles"' (with hidden window)
