Trojan.MulDrop13.2626

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\.net framework x64 release

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei11882\vcruntime140.dll
%TEMP%\_mei11882\base_library.zip
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\authors.rst
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\installer
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license.apache
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license.bsd
%TEMP%\_mei11882\_socket.pyd
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license.psf
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\record
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\wheel
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\top_level.txt
%APPDATA%\add_sch.bat
%APPDATA%\sd.bat
%WINDIR%\winlogin.exe
%TEMP%\_mei11882\unicodedata.pyd
%TEMP%\_mei11882\include\pyconfig.h
%TEMP%\_mei11882\select.pyd
%TEMP%\_mei11882\python37.dll
%TEMP%\_mei11882\pyexpat.pyd
%TEMP%\_mei11882\_cffi_backend.cp37-win_amd64.pyd
%TEMP%\_mei11882\_contextvars.pyd
%TEMP%\_mei11882\_ctypes.pyd
%TEMP%\_mei11882\_decimal.pyd
%TEMP%\_mei11882\_hashlib.pyd
%TEMP%\_mei11882\_lzma.pyd
%WINDIR%\sysinfoapi.exe
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\metadata
%TEMP%\_mei11882\_queue.pyd
%TEMP%\_mei11882\cryptography\hazmat\bindings\_constant_time.cp37-win_amd64.pyd
%TEMP%\_mei11882\cryptography\hazmat\bindings\_openssl.cp37-win_amd64.pyd
%TEMP%\_mei11882\cryptography\hazmat\bindings\_padding.cp37-win_amd64.pyd
%TEMP%\_mei11882\libcrypto-1_1-x64.dll
%TEMP%\_mei11882\libssl-1_1-x64.dll
%TEMP%\_mei11882\main.exe.manifest
%TEMP%\_mei11882\_bz2.pyd
%TEMP%\_mei11882\_ssl.pyd
%WINDIR%\winring0x64.sys

Удаляет следующие файлы

%APPDATA%\add_sch.bat
%TEMP%\_mei11882\main.exe.manifest
%TEMP%\_mei11882\pyexpat.pyd
%TEMP%\_mei11882\python37.dll
%TEMP%\_mei11882\select.pyd
%TEMP%\_mei11882\unicodedata.pyd
%TEMP%\_mei11882\vcruntime140.dll
%TEMP%\_mei11882\_cffi_backend.cp37-win_amd64.pyd
%TEMP%\_mei11882\_socket.pyd
%TEMP%\_mei11882\_contextvars.pyd
%TEMP%\_mei11882\_ctypes.pyd
%TEMP%\_mei11882\_decimal.pyd
%TEMP%\_mei11882\_hashlib.pyd
%TEMP%\_mei11882\_lzma.pyd
%TEMP%\_mei11882\_queue.pyd
%TEMP%\_mei11882\libssl-1_1-x64.dll
%TEMP%\_mei11882\_bz2.pyd
%TEMP%\_mei11882\libcrypto-1_1-x64.dll
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\installer
%APPDATA%\sd.bat
%TEMP%\_mei11882\base_library.zip
%TEMP%\_mei11882\cryptography\hazmat\bindings\_constant_time.cp37-win_amd64.pyd
%TEMP%\_mei11882\cryptography\hazmat\bindings\_openssl.cp37-win_amd64.pyd
%TEMP%\_mei11882\cryptography\hazmat\bindings\_padding.cp37-win_amd64.pyd
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\authors.rst
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\wheel
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license.apache
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license.bsd
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\license.psf
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\metadata
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\record
%TEMP%\_mei11882\cryptography-2.9.2-py3.7.egg-info\top_level.txt
%TEMP%\_mei11882\include\pyconfig.h
%TEMP%\_mei11882\_ssl.pyd

Подменяет следующие файлы

%APPDATA%\sd.bat

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c %APPDATA%\add_sch.bat
'<SYSTEM32>\schtasks.exe' /F /Create /TN ".Net Framework x64 Release" /SC ONLOGON /TR %WINDIR%\winlogin.exe /RL HIGHEST
'<SYSTEM32>\cmd.exe' /c %APPDATA%\sd.bat
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath %WINDIR%
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess %WINDIR%\winlogin.exe
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess %WINDIR%\sysinfoapi.exe