Trojan.MulDrop11.41733

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /T /IM firefox.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

C:\sw_util_trt\log\<Имя файла>.log
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\sitesecurityservicestate.txt
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\times.json
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\user.js
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\webappsstore.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\webappsstore.sqlite-shm
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\xulstore.json
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\bookmarkbackups\bookmarks-2020-02-10_14_x5qkry9yysawyostzmcdfa==.jsonlz4
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\crashes\store.json.mozlz4
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\datareporting\state.json
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\gmp-gmpopenh264\1.3\gmpopenh264.info
C:\users\default\appdata\roaming\mozilla\firefox\profiles\default\cert_override.txt
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\gmp-gmpopenh264\1.5.3\gmpopenh264.dll
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\gmp-gmpopenh264\1.5.3\gmpopenh264.info
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\sessionstore-backups\previous.js
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\sessionstore-backups\recovery.js
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\sessionstore-backups\upgrade.js-20150415140819
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\storage\permanent\moz-safe-about+home\.metadata
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\storage\permanent\moz-safe-about+home\idb\818200132aebmoouht.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\webapps\webapps.json
C:\users\default\appdata\roaming\mozilla\firefox\profiles.ini
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\sessioncheckpoints.json
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\gmp-gmpopenh264\1.3\gmpopenh264.dll
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\secmod.db
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\extensions.json
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\addons.json
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\blocklist.xml
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\cert8.db
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\compatibility.ini
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\content-prefs.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\cookies.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\cookies.sqlite-shm
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\cookies.sqlite-wal
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\extensions.ini
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\formhistory.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\revocations.txt
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\healthreport.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\key3.db
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\mimetypes.rdf
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\permissions.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\places.sqlite
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\places.sqlite-shm
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\places.sqlite-wal
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\pluginreg.dat
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\prefs.js
%APPDATA%\perfilfirefoxbackup\2020-02-14_16-34-05\gn7ryp3k.default\search.json
%APPDATA%\mozilla\firefox\profiles\user\cert_override.txt

Сетевая активность

UDP

DNS ASK it#####uca.trt15.jus.br
DNS ASK ja#####ica.trt15.jus.br

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\setx.exe' ITAMAMBUCA_LOCAL itamambuca.trt15.jus.br' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /T /IM firefox.exe' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' helpmsg 1' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ping jacarecica.trt15.jus.br -n 1 | find /i "TTL" > %TEMP%\logator_online.dat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\setx.exe' ITAMAMBUCA_LOCAL itamambuca.trt15.jus.br
'%WINDIR%\syswow64\net.exe' helpmsg 1
'%WINDIR%\syswow64\cmd.exe' /c ping jacarecica.trt15.jus.br -n 1 | find /i "TTL" > %TEMP%\logator_online.dat
'%WINDIR%\syswow64\net1.exe' helpmsg 1
'%WINDIR%\syswow64\ping.exe' jacarecica.trt15.jus.br -n 1
'%WINDIR%\syswow64\find.exe' /i "TTL"