Trojan.MulDrop11.45371

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nse18f5.tmp
C:\temp\henribendel_qas_update_v1.0.0.3.exe\_data_\workst~1\nsb\coalit~1\dotnet\bin\epicor.retail.store.qas.dll.config
C:\temp\henribendel_qas_update_v1.0.0.3.exe\_data_\server~1\nsb\coalit~1\edu\queue\023_lhb_reasons.dcn
C:\temp\henribendel_qas_update_v1.0.0.3.exe\_data_\server~1\nsb\coalit~1\edu\queue\000_lhb_import_flows.dcn
C:\temp\henribendel_qas_update_v1.0.0.3.exe\_data_\server~1\nsb\coalit~1\dotnet\bin\epicor.retail.store.qas.dll.config
C:\temp\henribendel_qas_update_v1.0.0.3.exe\_data_\server~1\nsb\coalit~1\config\pos.xml
C:\nsb\coalition\logs\packages\inprogress.flg
C:\temp\henribendel_qas_update_v1.0.0.3\progress.flg
C:\nsb\coalition\logs\packages\papersource_eom_update_henribendel_qas_update v1.0.0.3.log
C:\temp\henribendel_qas_update_v1.0.0.3.md5.ok
%TEMP%\nsx2143.tmp\nsexec.dll
C:\temp\henribendel_qas_update_v1.0.0.3\uservariables.txt
C:\temp\henribendel_qas_update_v1.0.0.3\install.ini
C:\temp\henribendel_qas_update_v1.0.0.3\_data_.zip
C:\temp\henribendel_qas_update_v1.0.0.3\packageinstall.exe
C:\temp\henribendel_qas_update_v1.0.0.3.md5
C:\temp\verify_md5.bat
C:\temp\md5sum.exe
%TEMP%\nsa1e05.tmp
C:\temp\henribendel_qas_update_v1.0.0.3.exe
C:\temp\henribendel_qas_update_v1.0.0.3\_ver.csv
C:\nsb\coalition\dotnet\bin\epicor.retail.store.qas.dll.config

Удаляет следующие файлы

C:\temp\henribendel_qas_update_v1.0.0.3.md5
C:\temp\henribendel_qas_update_v1.0.0.3.md5.ok
C:\temp\md5sum.exe
C:\temp\verify_md5.bat
%TEMP%\nsx2143.tmp\nsexec.dll
C:\temp\henribendel_qas_update_v1.0.0.3\progress.flg
C:\nsb\coalition\logs\packages\inprogress.flg

Подменяет следующие файлы

C:\temp\henribendel_qas_update_v1.0.0.3\progress.flg

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: 'SysListView32' WindowName: ''

Создает и запускает на исполнение

'C:\temp\henribendel_qas_update_v1.0.0.3.exe'
'C:\temp\md5sum.exe' -c "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3.md5"
'C:\temp\henribendel_qas_update_v1.0.0.3\packageinstall.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\Temp\verify_md5.bat" "C:\Temp" "HenriBendel_QAS_Update_v1.0.0.3""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 1 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 3 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 4 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Echo HenriBendel_QAS_Update v1.0.0.3 %time% %date% >>C:\NSB\Coalition\Logs\Packages\InProgress.flg' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 5 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 6 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 7 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 8 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Del /q C:\NSB\Coalition\Logs\Packages\InProgress.flg' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 9 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c C:\nsb\coalition\dotnet\NSB.POS.Client.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo 10 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\Temp\verify_md5.bat" "C:\Temp" "HenriBendel_QAS_Update_v1.0.0.3""
'%WINDIR%\syswow64\cmd.exe' /c echo 1 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c echo 3 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c echo 4 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c Echo HenriBendel_QAS_Update v1.0.0.3 %time% %date% >>C:\NSB\Coalition\Logs\Packages\InProgress.flg
'%WINDIR%\syswow64\cmd.exe' /c echo 5 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c echo 6 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c echo 7 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c echo 8 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c Del /q C:\NSB\Coalition\Logs\Packages\InProgress.flg
'%WINDIR%\syswow64\cmd.exe' /c echo 9 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"
'%WINDIR%\syswow64\cmd.exe' /c C:\nsb\coalition\dotnet\NSB.POS.Client.exe
'%WINDIR%\syswow64\cmd.exe' /c echo 10 >> "C:\Temp\HenriBendel_QAS_Update_v1.0.0.3\progress.flg"