Trojan.MulDrop11.18177

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\sppsvc] 'Start' = '00000002'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\cert.xrm-ms
%TEMP%\rarsfx0\bootinst.exe
%TEMP%\rarsfx0\install.cmd
%TEMP%\rarsfx0\md5.exe
%TEMP%\rarsfx0\slic
%TEMP%\rarsfx0\w7ldr1
%TEMP%\rarsfx0\w7ldr2
%TEMP%\debug.log
%TEMP%\mount
%TEMP%\unmount
z:\w7ldr

Присваивает атрибут 'скрытый' для следующих файлов

z:\w7ldr

Удаляет следующие файлы

%TEMP%\unmount
%TEMP%\mount
%TEMP%\rarsfx0\bootinst.exe
%TEMP%\rarsfx0\cert.xrm-ms
%TEMP%\rarsfx0\install.cmd
%TEMP%\rarsfx0\md5.exe
%TEMP%\rarsfx0\slic
%TEMP%\rarsfx0\w7ldr1
%TEMP%\rarsfx0\w7ldr2

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\md5.exe' -c677DC37B9ADBFC0A421FA5BBD746A3DB %TEMP%\RarSFX0\bootinst.exe
'%TEMP%\rarsfx0\md5.exe' -c18B1E45BF56F40C3C4BBE65831178216 %TEMP%\RarSFX0\cert.xrm-ms
'%TEMP%\rarsfx0\md5.exe' -c7EE5638B3D64247202A366AD3CB0795C %TEMP%\RarSFX0\slic
'%TEMP%\rarsfx0\md5.exe' -cE655FB2452C4553A81D7C8AD212E5759 %TEMP%\RarSFX0\w7ldr1
'%TEMP%\rarsfx0\md5.exe' -c3BB8553F8E230F58F116157C4318E2E0 %TEMP%\RarSFX0\w7ldr2
'%TEMP%\rarsfx0\md5.exe' -c8D443F2E93A3F0B67F442E4F1D5A4D6D %TEMP%\RarSFX0\md5.exe
'%TEMP%\rarsfx0\md5.exe' -cA8AFF1134062B4C69DE0640813AFF5B9 Z:\w7ldr
'%TEMP%\rarsfx0\bootinst.exe' /nt60 Z

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\install.cmd" "
'%WINDIR%\syswow64\findstr.exe' /C:" N "
'%WINDIR%\syswow64\findstr.exe' /C:" N: "
'%WINDIR%\syswow64\findstr.exe' /C:" O "
'%WINDIR%\syswow64\findstr.exe' /C:" O: "
'%WINDIR%\syswow64\findstr.exe' /C:" P "
'%WINDIR%\syswow64\findstr.exe' /C:" P: "
'%WINDIR%\syswow64\findstr.exe' /C:" Q "
'%WINDIR%\syswow64\findstr.exe' /C:" Q: "
'%WINDIR%\syswow64\findstr.exe' /C:" R "
'%WINDIR%\syswow64\findstr.exe' /C:" R: "
'%WINDIR%\syswow64\findstr.exe' /C:" S "
'%WINDIR%\syswow64\findstr.exe' /C:" S: "
'%WINDIR%\syswow64\findstr.exe' /C:" T "
'%WINDIR%\syswow64\findstr.exe' /C:" T: "
'%WINDIR%\syswow64\findstr.exe' /C:" U "
'%WINDIR%\syswow64\findstr.exe' /C:" U: "
'%WINDIR%\syswow64\findstr.exe' /C:" V "
'%WINDIR%\syswow64\cscript.exe' //NOLOGO <SYSTEM32>\slmgr.vbs -ipk 22TKD-F8XX6-YG69F-9M66D-PMJBM
'%WINDIR%\syswow64\attrib.exe' Z:\w7ldr +h +s +r
'%WINDIR%\syswow64\diskpart.exe' /S "%TEMP%\MOUNT"
'%WINDIR%\syswow64\findstr.exe' /C:" * "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" ECHO LIST DISK "
'%WINDIR%\syswow64\findstr.exe' /C:" Z: "
'%WINDIR%\syswow64\findstr.exe' /C:" Y: "
'%WINDIR%\syswow64\findstr.exe' /C:" Z "
'%WINDIR%\syswow64\findstr.exe' /C:" Y "
'%WINDIR%\syswow64\findstr.exe' /C:" X: "
'%WINDIR%\syswow64\findstr.exe' /C:" X "
'%WINDIR%\syswow64\findstr.exe' /C:" W: "
'%WINDIR%\syswow64\findstr.exe' /C:" W "
'%WINDIR%\syswow64\findstr.exe' /C:" V: "
'%WINDIR%\syswow64\cscript.exe' //NOLOGO <SYSTEM32>\slmgr.vbs -ilc "%TEMP%\RarSFX0\cert.xrm-ms"
'%WINDIR%\syswow64\findstr.exe' /C:" M: "
'%WINDIR%\syswow64\findstr.exe' /C:" M "
'%WINDIR%\syswow64\findstr.exe' /C:" L: "
'%WINDIR%\syswow64\mode.com' CON COLS=40 LINES=15
'%WINDIR%\syswow64\chcp.com'
'%WINDIR%\syswow64\reg.exe' QUERY "HKLM\Software\Microsoft\Windows NT\CurrentVersion" /v "BuildLabEx"
'%WINDIR%\syswow64\reg.exe' QUERY "HKLM\Software\Microsoft\Windows NT\CurrentVersion" /v "ProductName"
'%WINDIR%\syswow64\sc.exe' QUERY SPPSVC
'%WINDIR%\syswow64\findstr.exe' /I "RUNNING"
'%WINDIR%\syswow64\net.exe' START SPPSVC
'%WINDIR%\syswow64\net1.exe' START SPPSVC
'%WINDIR%\syswow64\sc.exe' CONFIG SPPSVC START= Auto
'%WINDIR%\syswow64\cmd.exe' /S /D /c" ECHO LIST VOL "
'%WINDIR%\syswow64\diskpart.exe'
'<SYSTEM32>\vds.exe'
'%WINDIR%\syswow64\cmd.exe' /c ECHO LIST VOL | DISKPART | FINDSTR /R /C:"[0-9] [^Aa-Zz][^Aa-Zz] ...........* *NTFS *.......... *[12]00 M. "
'%WINDIR%\syswow64\findstr.exe' /R /C:"[0-9] [^Aa-Zz][^Aa-Zz] ...........* *NTFS *.......... *[12]00 M. "
'%WINDIR%\syswow64\findstr.exe' /C:" B "
'%WINDIR%\syswow64\net.exe' USE
'%WINDIR%\syswow64\findstr.exe' /C:" B: "
'%WINDIR%\syswow64\findstr.exe' /C:" K: "
'%WINDIR%\syswow64\findstr.exe' /C:" K "
'%WINDIR%\syswow64\findstr.exe' /C:" J: "
'%WINDIR%\syswow64\findstr.exe' /C:" J "
'%WINDIR%\syswow64\findstr.exe' /C:" I: "
'%WINDIR%\syswow64\findstr.exe' /C:" I "
'%WINDIR%\syswow64\findstr.exe' /C:" H "
'%WINDIR%\syswow64\findstr.exe' /C:" H: "
'%WINDIR%\syswow64\findstr.exe' /C:" G: "
'%WINDIR%\syswow64\findstr.exe' /C:" G "
'%WINDIR%\syswow64\findstr.exe' /C:" F "
'%WINDIR%\syswow64\findstr.exe' /C:" E "
'%WINDIR%\syswow64\findstr.exe' /C:" D "
'%WINDIR%\syswow64\findstr.exe' /C:" C "
'%WINDIR%\syswow64\findstr.exe' /C:" L "
'%WINDIR%\syswow64\diskpart.exe' /S "%TEMP%\UNMOUNT"