Trojan.MulDrop11.25681

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'CCBCertificate' = '%ProgramFiles(x86)%\CCBComponents\DMWZ\CCBCertificate.exe'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\SCardSvr] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\ESAFENT] 'ImagePath' = 'System32\Drivers\CCBeSafe.sys'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsn4b54.tmp
%ProgramFiles(x86)%\ccbcomponents\dmwz\language\traditionalchinese.ini
%WINDIR%\syswow64\ccbkcapi.dll
%WINDIR%\syswow64\ccbkcsp.dll
%WINDIR%\syswow64\ccbkcsp.sig
%WINDIR%\syswow64\getid.ocx
%ProgramFiles(x86)%\ccbcomponents\dmwz\uninst.exe
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbesafe_xp.inf
%WINDIR%\syswow64\drivers\set92db.tmp
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\setb26b.tmp
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\setb375.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
%TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\set8a8.tmp
%TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\set9c2.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
%ProgramFiles(x86)%\ccbcomponents\dmwz\language\chinese.ini
%ProgramFiles(x86)%\ccbcomponents\dmwz\language\english.ini
%ProgramFiles(x86)%\ccbcomponents\dmwz\e25f1eb2-6b91-4a58-932d-54b851f6d0c3.devicemetadata-ms
%ProgramFiles(x86)%\ccbcomponents\dmwz\cdf7b98d-fe2f-406c-bd30-62ca329295a1.devicemetadata-ms
%ProgramFiles(x86)%\ccbcomponents\dmwz\9653cb18-aa56-4847-8443-76eb990c8f0e.devicemetadata-ms
%ProgramFiles(x86)%\ccbcomponents\dmwz\setting.ini
%TEMP%\nsd4b65.tmp\userinfo.dll
%WINDIR%\syswow64\terminateprocess_dmwz.dll
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbcertificate.exe
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbesafe.cat
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbesafe.inf
%ProgramFiles(x86)%\ccbcomponents\dmwz\log\201910.log
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\setb150.tmp
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbesafe.sys
%ProgramFiles(x86)%\ccbcomponents\dmwz\dm_coinstaller.dll
%ProgramFiles(x86)%\ccbcomponents\dmwz\cardesafeccb.inf
%ProgramFiles(x86)%\ccbcomponents\dmwz\cardesafeccb.cat
%ProgramFiles(x86)%\ccbcomponents\dmwz\cardesafeccb.dll
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbkcoinstaller.dll
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbkcoinstaller.ex_
%TEMP%\nsd4b65.tmp\system.dll
%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbinstaller.exe
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\c212bba58b9be8ccc3ff55009b5b629a_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee

Присваивает атрибут 'скрытый' для следующих файлов

<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat

Удаляет следующие файлы

%WINDIR%\syswow64\ccbkcapi.dll.bak0
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\ccbesafe.cat
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\ccbesafe.inf
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\ccbesafe.sys
%TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\cardesafeccb.cat
%TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\cardesafeccb.inf
%TEMP%\nsd4b65.tmp\system.dll
%TEMP%\nsd4b65.tmp\userinfo.dll

Перемещает следующие файлы

%WINDIR%\syswow64\ccbkcapi.dll в %WINDIR%\syswow64\ccbkcapi.dll.bak0
%WINDIR%\syswow64\drivers\set92db.tmp в %WINDIR%\syswow64\drivers\ccbesafe.sys
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\setb150.tmp в %TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\ccbesafe.cat
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\setb26b.tmp в %TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\ccbesafe.inf
%TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\setb375.tmp в %TEMP%\{18d23e3f-84ce-7638-9698-5971a9761567}\ccbesafe.sys
%TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\set8a8.tmp в %TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\cardesafeccb.cat
%TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\set9c2.tmp в %TEMP%\{24de3bed-9068-4be3-7c25-e748d294a824}\cardesafeccb.inf

Подменяет следующие файлы

%WINDIR%\syswow64\ccbkcapi.dll

Другое

Ищет следующие окна

ClassName: '' WindowName: 'Windows В°ВІГ€В«'

Создает и запускает на исполнение

'%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbinstaller.exe' -p -i
'%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbinstaller.exe' -m -i
'%ProgramFiles(x86)%\ccbcomponents\dmwz\ccbcertificate.exe'
'%WINDIR%\syswow64\cmd.exe' /c sc start SCardSvr' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc start CertPropSvc' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection ClassInstall32 132 %ProgramFiles(x86)%\CCBComponents\DMWZ\CCBeSafe.inf' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection ESAFE_DDI 132 %ProgramFiles(x86)%\CCBComponents\DMWZ\CCBeSafe.inf' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c sc start SCardSvr
'%WINDIR%\syswow64\cmd.exe' /c sc start CertPropSvc
'%WINDIR%\syswow64\sc.exe' start SCardSvr
'%WINDIR%\syswow64\sc.exe' start CertPropSvc
'%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection ClassInstall32 132 %ProgramFiles(x86)%\CCBComponents\DMWZ\CCBeSafe.inf
'%WINDIR%\syswow64\runonce.exe' -r
'%WINDIR%\syswow64\grpconv.exe' -o
'%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection ESAFE_DDI 132 %ProgramFiles(x86)%\CCBComponents\DMWZ\CCBeSafe.inf