Trojan.MulDrop8.58298

Техническая информация

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Запускает на исполнение:

'<SYSTEM32>\net.exe' stop wuauserv
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=in action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=out action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=in action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=out action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=in action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=out action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=in action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=out action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=in action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=out action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Installer.msi
%WINDIR%\Installer\MSI5.tmp
C:\Config.Msi\2334e.rbs
%WINDIR%\Installer\MSI3.tmp
%APPDATA%\Windows Backup\is-440BQ.tmp
%APPDATA%\Windows Backup\is-6OAT9.tmp
%APPDATA%\Windows Backup\is-ESF2K.tmp
%APPDATA%\Windows Backup\is-KRC5B.tmp
%APPDATA%\Windows Backup\is-3QKO4.tmp
%APPDATA%\Windows Backup\is-RIUCB.tmp
%APPDATA%\Windows Backup\is-7KPSK.tmp
%APPDATA%\Windows Backup\is-VDBRU.tmp
%APPDATA%\Windows Backup\is-0EGBL.tmp
%APPDATA%\Windows Backup\is-16C01.tmp
%APPDATA%\Windows Backup\is-UMHDV.tmp
%TEMP%\is-TP4JV.tmp\Installer.tmp
%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files\Installer.exe
%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files.cab
%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\msiwrapper.ini
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\2334d.ipi
%WINDIR%\Installer\2334b.msi
%TEMP%\start.exe
%TEMP%\Install.cmd
%WINDIR%\Installer\2334f.msi
%WINDIR%\Installer\MSI7.tmp

Удаляет следующие файлы:

%TEMP%\is-TP4JV.tmp\Installer.tmp
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI3.tmp
C:\Config.Msi\2334e.rbs
%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files\Installer.exe
%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\msiwrapper.ini
%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files.cab
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\2334b.msi
%WINDIR%\Installer\2334d.ipi
%TEMP%\Installer.msi
%TEMP%\Install.cmd

Перемещает следующие файлы:

%APPDATA%\Windows Backup\is-UMHDV.tmp в %APPDATA%\Windows Backup\config.json
%APPDATA%\Windows Backup\is-16C01.tmp в %APPDATA%\Windows Backup\i9PkdE7007NMqfNb9Ng2GMp5Id85yJ.7z
%APPDATA%\Windows Backup\is-0EGBL.tmp в %APPDATA%\Windows Backup\7z.dll
%APPDATA%\Windows Backup\is-VDBRU.tmp в %APPDATA%\Windows Backup\7z.exe
%APPDATA%\Windows Backup\is-7KPSK.tmp в %APPDATA%\Windows Backup\7z.sfx
%APPDATA%\Windows Backup\is-RIUCB.tmp в %APPDATA%\Windows Backup\7zCon.sfx
%APPDATA%\Windows Backup\is-3QKO4.tmp в %APPDATA%\Windows Backup\7-zip.dll
%APPDATA%\Windows Backup\is-KRC5B.tmp в %APPDATA%\Windows Backup\7-zip32.dll
%APPDATA%\Windows Backup\is-ESF2K.tmp в %APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.bat
%APPDATA%\Windows Backup\is-6OAT9.tmp в %APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.vbs
%APPDATA%\Windows Backup\is-440BQ.tmp в %APPDATA%\Windows Backup\00uQtaZ9eP5nK53Xj2Yi4DncNQ0k6A.bat

Другое:

Создает и запускает на исполнение:

'%TEMP%\start.exe'
'%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files\Installer.exe' /VERYSILENT
'%TEMP%\is-TP4JV.tmp\Installer.tmp' /SL5="$400E6,1910081,57856,%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files\Installer.exe" /VERYSILENT

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\Install.cmd""
'<SYSTEM32>\msiexec.exe' /i %TEMP%\Installer.msi /quiet
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding F1A834AA7D5946F3A3C1C4CEB642C9A7
'<SYSTEM32>\expand.exe' -R files.cab -F:* files
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Windows Backup\00uQtaZ9eP5nK53Xj2Yi4DncNQ0k6A.bat""
'<SYSTEM32>\wscript.exe' "%APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.vbs"
'<SYSTEM32>\cmd.exe' /c "%APPDATA%\Windows Backup\8d4q695MuOhBNIL57V5N6gjzUwaOr3.bat"
'<SYSTEM32>\net1.exe' stop wuauserv
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\cmd.exe' /c rd /s /q "%TEMP%\MW-b671e868-a1dd-4f42-b5aa-67265d97d5d0\files"
'<SYSTEM32>\netsh.exe' Advfirewall set allprofiles state on
'<SYSTEM32>\schtasks.exe' /create /xml "%APPDATA%\Windows Backup\LGIMo7kIx75d59755iZdw7WDB5cNbq.xml" /tn "Windows Local Network Service"
'<SYSTEM32>\xcopy.exe' /s /y /k /f "%APPDATA%\Windows Backup\Windows Local Network Service.bat" "%HOMEPATH%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup"