Trojan.MulDrop11.23457

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Explorers' = '%WINDIR%\explorer.exe /root <SYSTEM32>\rundll32.exe ..\windows\system32\user32.dll.ShellExecute(%s), D:\System_VoIume_lnfor...
[<HKCU>\Software\Classes\exefiles\shell\open\command] '' = '"D:\System_VoIume_lnformation\Jnt\bidu\explorers.exe" rts "%1"'

Изменения в файловой системе

Создает следующие файлы

C:\files .exe
C:\show hidden files.bat
D:\files .exe
D:\show hidden files.bat
D:\sefera\jnt\wanowyqyg\svcnost.exe
D:\sefera\jnt\wanowyqyg\svcnosts.exe
D:\sefera\jnt\wanowyqyg\gotera.bmp
D:\system_voiume_lnformation\jnt\bidu\explorers.exe
D:\system_voiume_lnformation\jnt\bidu\gotera.bmp
D:\system_voiume_lnformation\jnt\bidu\bmz\explorer.exeВќ
D:\sefera\desktop.ini
D:\sefera\jnt\wanowyqyg\desktop.ini

Присваивает атрибут 'скрытый' для следующих файлов

D:\sefera\desktop.ini
D:\sefera\jnt\wanowyqyg\desktop.ini

Сетевая активность

UDP

DNS ASK cl######rch.firebaseapp.com

Другое

Создает и запускает на исполнение

'D:\sefera\jnt\wanowyqyg\svcnost.exe' nm
'D:\sefera\jnt\wanowyqyg\svcnosts.exe' fdrg
'<SYSTEM32>\cmd.exe' /c cacls D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d user /e' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d everyone /e' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d administrators /e' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls D:\sefera\Jnt\wanowyqyg\..\.. /d user /e' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls D:\sefera\Jnt\wanowyqyg\..\.. /d everyone /e' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls D:\sefera\Jnt\wanowyqyg\..\.. /d administrators /e' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c attrib D:\System_VoIume_lnformation\Jnt\bidu\..\.. +r +s +h' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg\desktop.ini +s +h' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg\..\..\desktop.ini +s +h' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg\..\.. +r +s +h' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls n:\System_VoIume_lnformation\Jnt\null\..\.. /r user /e /t' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls n:\System_VoIume_lnformation\Jnt\null\..\.. /r administrators /e /t' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls n:\System_VoIume_lnformation\Jnt\null\..\.. /g everyone:f /e /t' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls n:\sefera\Jnt\null\..\.. /r user /e /t' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls n:\sefera\Jnt\null\..\.. /r administrators /e /t' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg +r +s +h' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls n:\sefera\Jnt\null\..\.. /g everyone:f /e /t' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\explorer.exe' <Полный путь к файлу>\..
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg\desktop.ini +s +h
'<SYSTEM32>\attrib.exe' D:\sefera\Jnt\wanowyqyg\desktop.ini +s +h
'<SYSTEM32>\cmd.exe' /c attrib D:\System_VoIume_lnformation\Jnt\bidu\..\.. +r +s +h
'<SYSTEM32>\attrib.exe' D:\System_VoIume_lnformation\Jnt\bidu\..\.. +r +s +h
'<SYSTEM32>\cmd.exe' /c cacls D:\sefera\Jnt\wanowyqyg\..\.. /d administrators /e
'<SYSTEM32>\cacls.exe' D:\sefera\Jnt\wanowyqyg\..\.. /d administrators /e
'<SYSTEM32>\cacls.exe' D:\sefera\Jnt\wanowyqyg\..\.. /d everyone /e
'<SYSTEM32>\cmd.exe' /c cacls D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d user /e
'<SYSTEM32>\cmd.exe' /c cacls D:\sefera\Jnt\wanowyqyg\..\.. /d user /e
'<SYSTEM32>\cacls.exe' D:\sefera\Jnt\wanowyqyg\..\.. /d user /e
'<SYSTEM32>\cmd.exe' /c cacls D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d administrators /e
'<SYSTEM32>\cacls.exe' D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d administrators /e
'<SYSTEM32>\cmd.exe' /c cacls D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d everyone /e
'<SYSTEM32>\cacls.exe' D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d everyone /e
'<SYSTEM32>\attrib.exe' D:\sefera\Jnt\wanowyqyg +r +s +h
'<SYSTEM32>\cmd.exe' /c cacls D:\sefera\Jnt\wanowyqyg\..\.. /d everyone /e
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg +r +s +h
'<SYSTEM32>\cmd.exe' /c cacls n:\System_VoIume_lnformation\Jnt\null\..\.. /g everyone:f /e /t
'<SYSTEM32>\cmd.exe' /c cacls n:\sefera\Jnt\null\..\.. /g everyone:f /e /t
'<SYSTEM32>\cacls.exe' n:\sefera\Jnt\null\..\.. /g everyone:f /e /t
'<SYSTEM32>\cmd.exe' /c cacls n:\sefera\Jnt\null\..\.. /r administrators /e /t
'<SYSTEM32>\cacls.exe' n:\sefera\Jnt\null\..\.. /r administrators /e /t
'<SYSTEM32>\cmd.exe' /c cacls n:\sefera\Jnt\null\..\.. /r user /e /t
'<SYSTEM32>\cacls.exe' n:\sefera\Jnt\null\..\.. /r user /e /t
'<SYSTEM32>\cacls.exe' n:\System_VoIume_lnformation\Jnt\null\..\.. /g everyone:f /e /t
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg\..\..\desktop.ini +s +h
'<SYSTEM32>\cmd.exe' /c cacls n:\System_VoIume_lnformation\Jnt\null\..\.. /r administrators /e /t
'<SYSTEM32>\cacls.exe' n:\System_VoIume_lnformation\Jnt\null\..\.. /r administrators /e /t
'<SYSTEM32>\cmd.exe' /c cacls n:\System_VoIume_lnformation\Jnt\null\..\.. /r user /e /t
'<SYSTEM32>\cacls.exe' n:\System_VoIume_lnformation\Jnt\null\..\.. /r user /e /t
'<SYSTEM32>\cmd.exe' /c attrib D:\sefera\Jnt\wanowyqyg\..\.. +r +s +h
'<SYSTEM32>\attrib.exe' D:\sefera\Jnt\wanowyqyg\..\.. +r +s +h
'<SYSTEM32>\attrib.exe' D:\sefera\Jnt\wanowyqyg\..\..\desktop.ini +s +h
'<SYSTEM32>\cacls.exe' D:\System_VoIume_lnformation\Jnt\bidu\..\.. /d user /e