Trojan.MulDrop11.51489

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program="<Полный путь к файлу>"

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\scripttemp.ini
%TEMP%\aut2987.tmp
%WINDIR%\splashlogo.gif
%TEMP%\aut3744.tmp
%WINDIR%\_temp03211309346048\kmsmini.7z
%TEMP%\aut3764.tmp
%WINDIR%\_temp03211309346048\digital.7z
%TEMP%\aut37b3.tmp
%WINDIR%\_temp03211309346048\cert.7z
%TEMP%\aut37f3.tmp
%WINDIR%\_temp03211309346048\digitallicence.7z
%TEMP%\aut3832.tmp
%WINDIR%\_temp03211309346048\7z.exe
%WINDIR%\heukmsrenewal\heu_kms_activator.exe
%WINDIR%\_temp03211309346048\write.exe
%WINDIR%\_temp03211309346048\scriptdir.ini

Удаляет следующие файлы

%TEMP%\aut2987.tmp
%TEMP%\aut3744.tmp
%TEMP%\aut3764.tmp
%TEMP%\aut37b3.tmp
%TEMP%\aut37f3.tmp
%TEMP%\aut3832.tmp
%WINDIR%\_temp03211309346048\7z.exe
%WINDIR%\_temp03211309346048\cert.7z
%WINDIR%\_temp03211309346048\digital.7z
%WINDIR%\_temp03211309346048\digitallicence.7z
%WINDIR%\_temp03211309346048\kmsmini.7z
%WINDIR%\_temp03211309346048\scriptdir.ini
%WINDIR%\_temp03211309346048\write.exe
%WINDIR%\heukmsrenewal\heu_kms_activator.exe
%WINDIR%\splashlogo.gif
%WINDIR%\scripttemp.ini

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\_temp03211309346048\7z.exe' x %WINDIR%\_temp03211309346048\KMSmini.7z -y -o%WINDIR%\_temp03211309346048
'%WINDIR%\syswow64\cmd.exe' /c echo [Temp] >%windir%\ScriptTemp.ini' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Temp=_temp03211309346048 >>%windir%\ScriptTemp.ini' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall delete rule name="HEU_KMS_Activator"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program...' (со скрытым окном)
'%WINDIR%\_temp03211309346048\7z.exe' x %WINDIR%\_temp03211309346048\KMSmini.7z -y -o%WINDIR%\_temp03211309346048' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & echo [Direction] >%windir%\_temp03211309346048\ScriptDir.ini' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & echo Dir=<Текущая директория> >>%windir%\_temp03211309346048\ScriptDir.ini' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & echo Name=<Имя файла>.exe >>%windir%\_temp03211309346048\ScriptDir.ini' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c echo [Temp] >%windir%\ScriptTemp.ini
'%WINDIR%\syswow64\cmd.exe' /c echo Temp=_temp03211309346048 >>%windir%\ScriptTemp.ini
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall delete rule name="HEU_KMS_Activator"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="HEU_KMS_Activator"
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program...
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & echo [Direction] >%windir%\_temp03211309346048\ScriptDir.ini
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & echo Dir=<Текущая директория> >>%windir%\_temp03211309346048\ScriptDir.ini
'%WINDIR%\syswow64\cmd.exe' /c set "Path=%SystemRoot%;<SYSTEM32>;<SYSTEM32>\Wbem;<SYSTEM32>\WindowsPowerShell\v1.0\;" & echo Name=<Имя файла>.exe >>%windir%\_temp03211309346048\ScriptDir.ini