Trojan.MulDrop11.22512

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\svcchot.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\autf042.tmp
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\3082\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\setup.bootstrapper.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\bootstrappercore.config
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\interop.shdocvw.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\setup.common.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\microsoft.deployment.windowsinstaller.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\ar.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\de.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\en.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\es.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\fa.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\ja.tsv
%TEMP%\hotspot_shield_7.0.5_20191016185903.log
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\ko.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\pt.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\ru.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\tr.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\vi.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\zh.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\mbapreq.png
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1029\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1053\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\regcleaner.exe
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\bootstrapperapplicationdata.xml
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\2070\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\lang\fr.tsv
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\2052\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1032\mbapreq.wxl
%TEMP%\autf0e0.tmp
%TEMP%\hotspotshield.exe
%TEMP%\{4fec7dee-f831-4c4a-80c4-c8b810e17876}\.cr\hotspotshield.exe
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\mbahost.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\bootstrappercore.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\mbapreq.dll
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\mbapreq.thm
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1028\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1030\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1031\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1035\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1055\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1036\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1038\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1040\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1041\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1042\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1043\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1044\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1045\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1046\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1049\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1051\mbapreq.wxl
%TEMP%\{e22b8c33-fffb-4e8e-9311-3b9a8058d733}\.ba\1060\mbapreq.wxl
%PROGRAMDATA%\hotspot shield\rep\events.raw

Удаляет следующие файлы

%TEMP%\autf042.tmp
%TEMP%\autf0e0.tmp

Сетевая активность

UDP

DNS ASK le###adviser.us
DNS ASK d3#######xjft9.cloudfront.net
DNS ASK d3#######lxv4f.cloudfront.net
DNS ASK pa###bin.com
DNS ASK du#######kh4o.cloudfront.net

Другое

Создает и запускает на исполнение

'%APPDATA%\microsoft\windows\start menu\programs\startup\svcchot.exe'
'%TEMP%\hotspotshield.exe'
'%TEMP%\{4fec7dee-f831-4c4a-80c4-c8b810e17876}\.cr\hotspotshield.exe' -burn.clean.room="%TEMP%\HotspotShield.exe" -burn.filehandle.attached=196 -burn.filehandle.self=204