Trojan.MulDrop14.306

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im QwestTouchPointAgent.exe /im CenturyLinkTouchPointAgent.exe /im QwestInstaller.exe /im QwestInstallerApp.exe /im CenturyLinkInstaller.exe /im CenturyLinkInstallerApp.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\centurylinkinstallersetup.exe
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isb803.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\defb7e2.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isrb7d2.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\strb7c1.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbb7b1.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\dotb7a0.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\corb78f.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\difb78e.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fonb77e.tmp
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\setb75e.tmp
%TEMP%\b6ff.tmp
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\0x0409.ini
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\setup.ini
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\setup.iss
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\setup.inx
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\setup.ini
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\setup.exe
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\md5sum.exe
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\license.rtf
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\layout.bin
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\issetup.dll
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\data1.hdr
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\data1.cab
%TEMP%\{660ed578-ee09-4ca1-920f-b7200ea47643}\disk1\0x0409.ini
%TEMP%\rarsfx0\config.ini
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isb804.tmp
%WINDIR%\centurylinkinstallersetup.log

Перемещает следующие файлы

%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\setb75e.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\setup.inx
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fonb77e.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fontdata.ini
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\difb78e.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\difxdata.ini
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\corb78f.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\corecomp.ini
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\dotb7a0.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\dotnetinstaller.exe
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbb7b1.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\strb7c1.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\stringtable_0x0409.ips
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isrb7d2.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isrt.dll
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\defb7e2.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\default.pal
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isb803.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isuser_0x0409.dll
%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isb804.tmp в %TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isres_0x0409.dll

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\centurylinkinstallersetup.exe'
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{E1FF23DD-9BE9-4247-89AA-FB6E7ECBD253}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{75098F32-0743-48DF-8CBE-230EFE5024B2}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{285FD7C5-C7B2-4847-9BF8-BEAD7CD3B72D}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{385C2F45-14E5-446A-AD82-9AA52EAC740F}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{AD9CAF81-637A-403E-A717-4FFC8EA4B083}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{9083BDF1-39C6-4EDD-A80E-A62816469087}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{D6B5F36F-7BCF-40FB-AA48-168056CD4F6C}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{270A13F0-F60B-4D8F-93F5-619CA6C0F270}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{526C2049-3663-447E-B48C-372DFA61AC4B}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{02E74FC4-851A-48A3-A553-BE03D6CBC804}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{5576DB6C-314B-4DF8-867F-EACCE85C3B47}
'%TEMP%\{3fd2bfef-0596-41fd-ac1c-68034f3a9196}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{058816AF-8E27-4CEE-8F01-F440F329B092}
'%WINDIR%\syswow64\taskkill.exe' /f /im QwestTouchPointAgent.exe /im CenturyLinkTouchPointAgent.exe /im QwestInstaller.exe /im QwestInstallerApp.exe /im CenturyLinkInstaller.exe /im CenturyLinkInstallerApp.exe' (со скрытым окном)