Trojan.MulDrop8.58302

Техническая информация

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Запускает на исполнение:

'<SYSTEM32>\net.exe' stop wuauserv
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=in action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=out action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=in action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=out action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=in action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=out action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=in action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=out action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=in action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=out action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Installer.msi
%WINDIR%\Installer\MSI5.tmp
C:\Config.Msi\1fb46.rbs
%WINDIR%\Installer\MSI3.tmp
%APPDATA%\Windows Defender\is-J57CB.tmp
%APPDATA%\Windows Defender\is-FHJVV.tmp
%APPDATA%\Windows Defender\is-FF4BB.tmp
%APPDATA%\Windows Defender\is-UGBB9.tmp
%APPDATA%\Windows Defender\is-IAI9H.tmp
%APPDATA%\Windows Defender\is-7FKF7.tmp
%APPDATA%\Windows Defender\is-QE08J.tmp
%APPDATA%\Windows Defender\is-26NOU.tmp
%APPDATA%\Windows Defender\is-NOSHL.tmp
%APPDATA%\Windows Defender\is-LTF3R.tmp
%APPDATA%\Windows Defender\is-FGTMU.tmp
%TEMP%\is-KDEBD.tmp\Installer.tmp
%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files\Installer.exe
%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files.cab
%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\msiwrapper.ini
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\1fb45.ipi
%WINDIR%\Installer\1fb43.msi
%TEMP%\start.exe
%TEMP%\Install.cmd
%WINDIR%\Installer\1fb47.msi
%WINDIR%\Installer\MSI7.tmp

Удаляет следующие файлы:

%TEMP%\is-KDEBD.tmp\Installer.tmp
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI3.tmp
C:\Config.Msi\1fb46.rbs
%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files\Installer.exe
%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\msiwrapper.ini
%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files.cab
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\1fb43.msi
%WINDIR%\Installer\1fb45.ipi
%TEMP%\Installer.msi
%TEMP%\Install.cmd

Перемещает следующие файлы:

%APPDATA%\Windows Defender\is-FGTMU.tmp в %APPDATA%\Windows Defender\config.json
%APPDATA%\Windows Defender\is-LTF3R.tmp в %APPDATA%\Windows Defender\5WEf9yT5sWfFi1Kl9X400Fn6coNx9Q.7z
%APPDATA%\Windows Defender\is-NOSHL.tmp в %APPDATA%\Windows Defender\7z.dll
%APPDATA%\Windows Defender\is-26NOU.tmp в %APPDATA%\Windows Defender\7z.exe
%APPDATA%\Windows Defender\is-QE08J.tmp в %APPDATA%\Windows Defender\7z.sfx
%APPDATA%\Windows Defender\is-7FKF7.tmp в %APPDATA%\Windows Defender\7zCon.sfx
%APPDATA%\Windows Defender\is-IAI9H.tmp в %APPDATA%\Windows Defender\7-zip.dll
%APPDATA%\Windows Defender\is-UGBB9.tmp в %APPDATA%\Windows Defender\7-zip32.dll
%APPDATA%\Windows Defender\is-FF4BB.tmp в %APPDATA%\Windows Defender\99ViXKOd1VLRtoVj46T5eFd9598qgy.bat
%APPDATA%\Windows Defender\is-FHJVV.tmp в %APPDATA%\Windows Defender\99ViXKOd1VLRtoVj46T5eFd9598qgy.vbs
%APPDATA%\Windows Defender\is-J57CB.tmp в %APPDATA%\Windows Defender\W7lG01Z7Axxvic04p4jzRLL2EPQ79r.bat

Другое:

Создает и запускает на исполнение:

'%TEMP%\start.exe'
'%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files\Installer.exe' /VERYSILENT
'%TEMP%\is-KDEBD.tmp\Installer.tmp' /SL5="$400E6,1962752,57856,%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files\Installer.exe" /VERYSILENT

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\Install.cmd""
'<SYSTEM32>\msiexec.exe' /i %TEMP%\Installer.msi /quiet
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding 5EFC5FE9F815C0B6DB29710E333281C7
'<SYSTEM32>\expand.exe' -R files.cab -F:* files
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Windows Defender\W7lG01Z7Axxvic04p4jzRLL2EPQ79r.bat""
'<SYSTEM32>\wscript.exe' "%APPDATA%\Windows Defender\99ViXKOd1VLRtoVj46T5eFd9598qgy.vbs"
'<SYSTEM32>\cmd.exe' /c "%APPDATA%\Windows Defender\99ViXKOd1VLRtoVj46T5eFd9598qgy.bat"
'<SYSTEM32>\net1.exe' stop wuauserv
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\cmd.exe' /c rd /s /q "%TEMP%\MW-24449d5e-6a62-4a6b-882b-f830462583c3\files"
'<SYSTEM32>\netsh.exe' Advfirewall set allprofiles state on
'<SYSTEM32>\schtasks.exe' /create /xml "%APPDATA%\Windows Defender\esHF0D7KPMui4M0wxfpyG866L26xK0.xml" /tn "Windows Local Network Service"
'<SYSTEM32>\xcopy.exe' /s /y /k /f "%APPDATA%\Windows Defender\Windows Local Network Service.bat" "%HOMEPATH%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup"