Trojan.MulDrop11.18582

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\SbieDrv] 'ImagePath' = '%ProgramFiles%\Sandboxie\SbieDrv.sys'
[<HKLM>\System\CurrentControlSet\Services\SbieSvc] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SbieSvc] 'ImagePath' = '"%ProgramFiles%\Sandboxie\SbieSvc.exe"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aute7e6.tmp
%ProgramFiles%\sandboxie\templates.ini
%ProgramFiles%\sandboxie\manifest0.txt
%ProgramFiles%\sandboxie\manifest1.txt
%ProgramFiles%\sandboxie\manifest2.txt
%ProgramFiles%\sandboxie\sbieini.exe
%ProgramFiles%\sandboxie\license.exe
%ProgramFiles%\sandboxie\license.txt
%ProgramFiles%\sandboxie\quicklaunch.lnk
%WINDIR%\installer\sandboxieinstall64.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\sandboxie start menu.lnk
%WINDIR%\temp\udd85ff.tmp
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\run web browser sandboxed.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\run windows explorer sandboxed.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\sandboxie control.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\uninstall sandboxie.lnk
%WINDIR%\temp\udd65ff.tmp
C:\users\public\desktop\sandboxie control.lnk
%WINDIR%\temp\udd6e6c.tmp
%WINDIR%\temp\udd764d.tmp
%WINDIR%\temp\udd7e2e.tmp
%ProgramFiles%\sandboxie\sbiectrl.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\run any program sandboxed.lnk
%ProgramFiles%\sandboxie\start.exe
%TEMP%\nsef4f8.tmp\inetc.dll
%CommonProgramFiles(x86)%\~ogsfusz.tmp
%TEMP%\sandboxieinstall-64-bit-1045406.exe
%TEMP%\nsyf4d7.tmp
%TEMP%\nsef4f8.tmp\system.dll
%TEMP%\nsef4f8.tmp\installtype.ini
%TEMP%\nsef4f8.tmp\warning.ini
%TEMP%\nsef4f8.tmp\kmdutil.exe
%TEMP%\nsef4f8.tmp\sbiemsg.dll
%TEMP%\nsef4f8.tmp\sbiedll.dll
%ProgramFiles%\sandboxie\sbiedll.dll
%ProgramFiles%\sandboxie\sandboxiecrypto.exe
%ProgramFiles%\sandboxie\sbiesvc.exe
%ProgramFiles%\sandboxie\32\sbiedll.dll
%ProgramFiles%\sandboxie\32\sbiesvc.exe
%ProgramFiles%\sandboxie\sbiemsg.dll
%ProgramFiles%\sandboxie\sbiedrv.sys
%ProgramFiles%\sandboxie\sboxhostdll.dll
%ProgramFiles%\sandboxie\sandboxierpcss.exe
%ProgramFiles%\sandboxie\sandboxiedcomlaunch.exe
%ProgramFiles%\sandboxie\sandboxiebits.exe
%ProgramFiles%\sandboxie\sandboxiewuau.exe
%WINDIR%\temp\udd8dd0.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%CommonProgramFiles(x86)%\~ogsfusz.tmp

Удаляет следующие файлы

%TEMP%\aute7e6.tmp
%TEMP%\nsef4f8.tmp\inetc.dll
%TEMP%\nsef4f8.tmp\installtype.ini
%TEMP%\nsef4f8.tmp\kmdutil.exe
%TEMP%\nsef4f8.tmp\sbiedll.dll
%TEMP%\nsef4f8.tmp\sbiemsg.dll
%TEMP%\nsef4f8.tmp\system.dll
%TEMP%\nsef4f8.tmp\warning.ini
%TEMP%\sandboxieinstall-64-bit-1045406.exe
%WINDIR%\temp\udd65ff.tmp
%WINDIR%\temp\udd6e6c.tmp
%CommonProgramFiles(x86)%\~ogsfusz.tmp
%WINDIR%\temp\udd764d.tmp
%WINDIR%\temp\udd7e2e.tmp
%WINDIR%\temp\udd85ff.tmp
%WINDIR%\temp\udd8dd0.tmp

Сетевая активность

UDP

DNS ASK sa###oxie.com

Другое

Ищет следующие окна

ClassName: 'SandboxieControlWndClass' WindowName: ''

Создает и запускает на исполнение

'%CommonProgramFiles(x86)%\~ogsfusz.tmp' /S
'%TEMP%\sandboxieinstall-64-bit-1045406.exe' /S
'%TEMP%\nsef4f8.tmp\kmdutil.exe' /lang=1033 scandll_silent
'%TEMP%\nsef4f8.tmp\kmdutil.exe' /lang=1033 stop SbieSvc
'%TEMP%\nsef4f8.tmp\kmdutil.exe' /lang=1033 stop SbieDrv
'%TEMP%\nsef4f8.tmp\kmdutil.exe' /lang=1033 install SbieDrv "%ProgramFiles%\Sandboxie\SbieDrv.sys" type=kernel start=demand "msgfile=%ProgramFiles%\Sandboxie\SbieMsg.dll" altitude=86900
'%TEMP%\nsef4f8.tmp\kmdutil.exe' /lang=1033 install SbieSvc "\"%ProgramFiles%\Sandboxie\SbieSvc.exe"\" type=own start=auto "display=Sandboxie Service" group=UIGroup "msgfile=%ProgramFiles%\Sandboxie\SbieMsg.dll"
'%TEMP%\nsef4f8.tmp\kmdutil.exe' /lang=1033 start SbieSvc
'%ProgramFiles%\sandboxie\sbiesvc.exe'