Trojan.MulDrop8.58293

Техническая информация

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Запускает на исполнение:

'<SYSTEM32>\net.exe' stop wuauserv
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=in action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=out action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=in action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=out action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=in action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=out action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=in action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=out action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=in action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=out action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Installer.msi
%WINDIR%\Installer\MSI5.tmp
C:\Config.Msi\233fa.rbs
%WINDIR%\Installer\MSI3.tmp
%APPDATA%\Windows Backup\is-S8CSR.tmp
%APPDATA%\Windows Backup\is-IQEMK.tmp
%APPDATA%\Windows Backup\is-5O7EK.tmp
%APPDATA%\Windows Backup\is-HCAI3.tmp
%APPDATA%\Windows Backup\is-5E1H7.tmp
%APPDATA%\Windows Backup\is-UBS6G.tmp
%APPDATA%\Windows Backup\is-6NAO0.tmp
%APPDATA%\Windows Backup\is-OR4U5.tmp
%APPDATA%\Windows Backup\is-9KBUL.tmp
%APPDATA%\Windows Backup\is-OIFUJ.tmp
%APPDATA%\Windows Backup\is-4B1J1.tmp
%TEMP%\is-I0IIN.tmp\Installer.tmp
%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files\Installer.exe
%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files.cab
%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\msiwrapper.ini
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\233f9.ipi
%WINDIR%\Installer\233f7.msi
%TEMP%\start.exe
%TEMP%\Install.cmd
%WINDIR%\Installer\233fb.msi
%WINDIR%\Installer\MSI7.tmp

Удаляет следующие файлы:

%TEMP%\is-I0IIN.tmp\Installer.tmp
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI3.tmp
C:\Config.Msi\233fa.rbs
%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files\Installer.exe
%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\msiwrapper.ini
%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files.cab
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\233f7.msi
%WINDIR%\Installer\233f9.ipi
%TEMP%\Installer.msi
%TEMP%\Install.cmd

Перемещает следующие файлы:

%APPDATA%\Windows Backup\is-4B1J1.tmp в %APPDATA%\Windows Backup\config.json
%APPDATA%\Windows Backup\is-OIFUJ.tmp в %APPDATA%\Windows Backup\i9PkdE7007NMqfNb9Ng2GMp5Id85yJ.7z
%APPDATA%\Windows Backup\is-9KBUL.tmp в %APPDATA%\Windows Backup\7z.dll
%APPDATA%\Windows Backup\is-OR4U5.tmp в %APPDATA%\Windows Backup\7z.exe
%APPDATA%\Windows Backup\is-6NAO0.tmp в %APPDATA%\Windows Backup\7z.sfx
%APPDATA%\Windows Backup\is-UBS6G.tmp в %APPDATA%\Windows Backup\7zCon.sfx
%APPDATA%\Windows Backup\is-5E1H7.tmp в %APPDATA%\Windows Backup\7-zip.dll
%APPDATA%\Windows Backup\is-HCAI3.tmp в %APPDATA%\Windows Backup\7-zip32.dll
%APPDATA%\Windows Backup\is-5O7EK.tmp в %APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.bat
%APPDATA%\Windows Backup\is-IQEMK.tmp в %APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.vbs
%APPDATA%\Windows Backup\is-S8CSR.tmp в %APPDATA%\Windows Backup\00uQtaZ9eP5nK53Xj2Yi4DncNQ0k6A.bat

Другое:

Создает и запускает на исполнение:

'%TEMP%\start.exe'
'%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files\Installer.exe' /VERYSILENT
'%TEMP%\is-I0IIN.tmp\Installer.tmp' /SL5="$400E6,1962982,57856,%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files\Installer.exe" /VERYSILENT

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\Install.cmd""
'<SYSTEM32>\msiexec.exe' /i %TEMP%\Installer.msi /quiet
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding DBA5D0C086C1C11C34495629767DFC15
'<SYSTEM32>\expand.exe' -R files.cab -F:* files
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Windows Backup\00uQtaZ9eP5nK53Xj2Yi4DncNQ0k6A.bat""
'<SYSTEM32>\wscript.exe' "%APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.vbs"
'<SYSTEM32>\cmd.exe' /c "%APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.bat"
'<SYSTEM32>\net1.exe' stop wuauserv
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\cmd.exe' /c rd /s /q "%TEMP%\MW-130881d4-2772-4cf0-9843-3d3589090568\files"
'<SYSTEM32>\netsh.exe' Advfirewall set allprofiles state on
'<SYSTEM32>\schtasks.exe' /create /xml "%APPDATA%\Windows Backup\LGIMo7kIx75d59755iZdw7WDB5cNbq.xml" /tn "Windows Local Network Service"
'<SYSTEM32>\xcopy.exe' /s /y /k /f "%APPDATA%\Windows Backup\Windows Local Network Service.bat" "%HOMEPATH%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup"