Trojan.MulDrop8.58941

Техническая информация

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Запускает на исполнение:

'<SYSTEM32>\net.exe' stop wuauserv
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=in action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN1.0" dir=out action=block program="%ProgramFiles%\AhnLab\V3Lite30\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=in action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="OpenVPN2.0" dir=out action=block program="%ProgramFiles%\ESTsoft\ALYac\AYUpdSrv.aye"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=in action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Torrentservice" dir=out action=block program="%ProgramFiles%\Naver\NaverVaccine\NvcAgent.npc"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=in action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Msn Messenger" dir=out action=block program="%ProgramFiles%\AVAST Software\Avast\setup\instup.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=in action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Skype updater" dir=out action=block program="%ProgramFiles%\AhnLab\Safe Transaction\MUpdate2\MUpdate2.exe"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Installer.msi
%WINDIR%\Installer\MSI5.tmp
C:\Config.Msi\2671f.rbs
%WINDIR%\Installer\MSI3.tmp
%APPDATA%\installer\is-VK0PG.tmp
%APPDATA%\installer\is-O12AV.tmp
%APPDATA%\installer\is-M7KTA.tmp
%APPDATA%\installer\is-09RUQ.tmp
%APPDATA%\installer\is-QPBPI.tmp
%APPDATA%\installer\is-33VJI.tmp
%APPDATA%\installer\is-COKL7.tmp
%APPDATA%\installer\is-8RUH0.tmp
%APPDATA%\installer\is-M4OBD.tmp
%APPDATA%\installer\is-L80M5.tmp
%APPDATA%\installer\is-I42LH.tmp
%TEMP%\is-EUC7E.tmp\Installer.tmp
%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files\Installer.exe
%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files.cab
%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\msiwrapper.ini
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\2671e.ipi
%WINDIR%\Installer\2671c.msi
%TEMP%\start.exe
%TEMP%\Install.cmd
%WINDIR%\Installer\26720.msi
%WINDIR%\Installer\MSI7.tmp

Удаляет следующие файлы:

%TEMP%\is-EUC7E.tmp\Installer.tmp
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI3.tmp
C:\Config.Msi\2671f.rbs
%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files\Installer.exe
%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\msiwrapper.ini
%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files.cab
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\2671c.msi
%WINDIR%\Installer\2671e.ipi
%TEMP%\Installer.msi
%TEMP%\Install.cmd

Перемещает следующие файлы:

%APPDATA%\installer\is-I42LH.tmp в %APPDATA%\installer\config.json
%APPDATA%\installer\is-L80M5.tmp в %APPDATA%\installer\W0uqGw7l4z7N5D6IKkp4F2Fa41nJKj.7z
%APPDATA%\installer\is-M4OBD.tmp в %APPDATA%\installer\7z.dll
%APPDATA%\installer\is-8RUH0.tmp в %APPDATA%\installer\7z.exe
%APPDATA%\installer\is-COKL7.tmp в %APPDATA%\installer\7z.sfx
%APPDATA%\installer\is-33VJI.tmp в %APPDATA%\installer\7zCon.sfx
%APPDATA%\installer\is-QPBPI.tmp в %APPDATA%\installer\7-zip.dll
%APPDATA%\installer\is-09RUQ.tmp в %APPDATA%\installer\7-zip32.dll
%APPDATA%\installer\is-M7KTA.tmp в %APPDATA%\installer\I4bpqv3FPtpZq7wR0Fl721E996IHSo.bat
%APPDATA%\installer\is-O12AV.tmp в %APPDATA%\installer\I4bpqv3FPtpZq7wR0Fl721E996IHSo.vbs
%APPDATA%\installer\is-VK0PG.tmp в %APPDATA%\installer\l414Q0Nyj66xc4b03GQ5XHmMFqkoCD.bat

Другое:

Создает и запускает на исполнение:

'%TEMP%\start.exe'
'%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files\Installer.exe' /VERYSILENT
'%TEMP%\is-EUC7E.tmp\Installer.tmp' /SL5="$400E6,2566267,57856,%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files\Installer.exe" /VERYSILENT
'<SYSTEM32>\wscript.exe' "%APPDATA%\installer\I4bpqv3FPtpZq7wR0Fl721E996IHSo.vbs"

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\Install.cmd""
'<SYSTEM32>\msiexec.exe' /i %TEMP%\Installer.msi /quiet
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding 465E91D463F5B63C43858147215C56E9
'<SYSTEM32>\expand.exe' -R files.cab -F:* files
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\installer\l414Q0Nyj66xc4b03GQ5XHmMFqkoCD.bat""
'<SYSTEM32>\cmd.exe' /c "%APPDATA%\installer\I4bpqv3FPtpZq7wR0Fl721E996IHSo.bat"
'<SYSTEM32>\net1.exe' stop wuauserv
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\cmd.exe' /c rd /s /q "%TEMP%\MW-5a33508e-4607-4e7d-be4d-36e636505e74\files"
'<SYSTEM32>\netsh.exe' Advfirewall set allprofiles state on
'<SYSTEM32>\schtasks.exe' /create /xml "%APPDATA%\installer\2c8FZcj7nw6mUwPW687l5gJZ1EBTd1.xml" /tn "Windows Local Network Service"