Конкретно установить семейство вредоноса по статическому анализу MSI
не получилось — payload спрятан и обфусцирован. Вот что точно известно:
### Цепочка
1.
MSI содержит Custom Action → запускает PowerShell.
2. PowerShell извлекает из таблицы
Binary запись с именем
S27A4VUZxLuT.
3. Данные проходят простую трансформацию (stride-декодирование).
4. Получается
PE-файл (EXE/DLL).
5. Скрипт делает
рефлективную загрузку:
- Парсит PE-заголовки
- Обрабатывает релокации
- Резолвит импорты через
LoadLibraryA /
GetProcAddress
- Мапит секции в память
- Запускает через
CreateThread по точке входа
6. Перед этим отключает
AMSI и очищает
ScriptBlock logging.
### Что это значит
Это
рефлективный PE-загрузчик (fileless). Финальный payload — обычный PE, который никогда не пишется на диск, а выполняется только в памяти.
Типичные варианты для таких загрузчиков:
- Стилеры (Lumma, RedLine, Vidar и т.п.)
- RAT
- Дополнительный загрузчик под конкретную задачу
### Что произошло при запуске
1.
msiexec запускает MSI.
2. Выполняется обфусцированный PowerShell
3. PowerShell компилирует на лету вспомогательную DLL (
csc.exe →
cvtres.exe →
befbxjot.dll в Temp).
4. Идёт работа с
Volume Shadow Copy (
vssvc.exe,
srtasks.exe)
5. Перечисляются все диски
### Сетевая активность
| Назначение | Назначение |
|------------|------------|
|
ipinfo.io | Определение внешнего IP |
|
yr.c.lencr.org,
yr1.c.lencr.org | Let's Encrypt (проверка сертификатов) |
|
minnarasanen.com (109.238.86.137:443) |
Подозрительный домен (российский IP) |
|
c.pki.goog | Google PKI |
Домен minnarasanen.com — это C2 (command-and-control) инфраструктура, связанная с кампанией распространения вредоносных MSI.
### Основные факты
| Параметр | Значение |
|----------|----------|
|
Домен | minnarasanen.com |
|
IP | 109.238.86.137 |
|
ASN | AS201738 — UFO TECHNOLOGIES LIMITED (Великобритания) |
|
Хостинг | UFO Technologies / связанные диапазоны |
|
Репутация IP | Высокий риск (фигурирует в блоклистах) |
Домен появился
сегодня (20 октября 2026) в контексте другого похожего образца:
- Файл:
3574378-setup.msi
- SHA256:
5cd9b187abe7cb2d768da7010dd9d040cd6e6b10be3a56675d4ba9eb5b8aaafd
- Замечен в Польше и загружен на MalwareBazaar
- В твите рядом с ним указан именно
minnarasanen.com
Это указывает на
серию однотипных MSI-дропперов, использующих один и тот же (или похожий) загрузчик и один C2.
### Инфраструктура AS201738
ASN UFO TECHNOLOGIES LIMITED активно используется в криминальных целях. По данным ThreatFox и других источников, в его диапазонах зафиксированы:
- Stealc
- Amadey
- AsyncRAT
- GCleaner
- SnappyClient
То есть это типичный «bulletproof»/абьюзный хостинг, часто используемый для стилеров и загрузчиков.
