Trojan.MulDrop16.11573

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MyRemoteApp' = '%HOMEPATH%\RDP6\MyRemoteApp.exe'

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\rdp6\remoteapp.txt
%HOMEPATH%\rdp6\libmupdf.dll
%TEMP%\aut2661.tmp
%HOMEPATH%\rdp6\pdffilter.dll
%TEMP%\aut26b0.tmp
%HOMEPATH%\rdp6\pdfpreview.dll
%TEMP%\aut26d1.tmp
%HOMEPATH%\rdp6\sumatrapdf.exe
%TEMP%\aut277d.tmp
%TEMP%\aut2273.tmp
%HOMEPATH%\rdp6\sumatrapdf-settings.txt
%HOMEPATH%\rdp6\myremoteapp.bin
%HOMEPATH%\rdp6\myremoteapp.exe
%TEMP%\aut35b1.tmp
%HOMEPATH%\rdp6\mypdfprinting\clientenvironment.ini
%APPDATA%\microsoft\credentials\c098f9d041272467fed920434d92dd34
%LOCALAPPDATA%\microsoft\terminal server client\cache\bcache22.bmc
%HOMEPATH%\rdp6\myremoteapp.ini
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\floatingpanel.lnk
%HOMEPATH%\rdp6\droidsansfallback.ttf
%TEMP%\aut242f.tmp
%TEMP%\aut22d7.tmp
%HOMEPATH%\rdp6\<Имя файла>.txt
%TEMP%\aut22c6.tmp
%HOMEPATH%\rdp6\connectionclient.exe
%TEMP%\aut21b4.tmp
%HOMEPATH%\rdp6\connectionclient.bin
%TEMP%\aut21f3.tmp
%HOMEPATH%\rdp6\svcr.exe
%TEMP%\aut2261.tmp
%HOMEPATH%\rdp6\ico2.ico
%TEMP%\aut2262.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\ameadmintool.lnk
%TEMP%\aut35a0.tmp
%HOMEPATH%\rdp6\icon.ico
%TEMP%\aut2293.tmp
%HOMEPATH%\rdp6\bkgscblue.bmp
%TEMP%\aut22a4.tmp
%HOMEPATH%\rdp6\bkgscgreen.bmp
%TEMP%\aut22b4.tmp
%HOMEPATH%\rdp6\bkgscpink.bmp
%TEMP%\aut22b5.tmp
%HOMEPATH%\rdp6\tscredentials.exe
%TEMP%\aut2194.tmp
%HOMEPATH%\rdp6\bkgsc.bmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\amefire.lnk

Удаляет следующие файлы

%TEMP%\aut2194.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\ameadmintool.lnk
%HOMEPATH%\rdp6\bkgsc.bmp
%TEMP%\aut35b1.tmp
%TEMP%\aut35a0.tmp
%TEMP%\aut277d.tmp
%TEMP%\aut26d1.tmp
%TEMP%\aut26b0.tmp
%TEMP%\aut2661.tmp
%TEMP%\aut242f.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\amefire.lnk
%TEMP%\aut22d7.tmp
%TEMP%\aut22b5.tmp
%TEMP%\aut22b4.tmp
%TEMP%\aut22a4.tmp
%TEMP%\aut2293.tmp
%TEMP%\aut2273.tmp
%TEMP%\aut2262.tmp
%TEMP%\aut2261.tmp
%TEMP%\aut21f3.tmp
%TEMP%\aut21b4.tmp
%TEMP%\aut22c6.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\floatingpanel.lnk

Подменяет следующие файлы

%HOMEPATH%\rdp6\bkgsc.bmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\floatingpanel.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\ameadmintool.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\my remote applications\amefire.lnk

Сетевая активность

Подключается к

TCP

UDP

Другое

Создает и запускает на исполнение

'%HOMEPATH%\rdp6\connectionclient.exe' -server rdp-D4CE61A3.amecloud.de -user 20381Biesenthal -psw IhHfZyg1KLDoMPhRQ5tm -color 16 -alttab 1 -com on -smartcard on -select on -remoteapp off -seamless on -wallp green -disk on -usb on -...
'%HOMEPATH%\rdp6\svcr.exe' "ConnectionClient.bin" "%HOMEPATH%\RDP6\ConnectionClient.exe" -server rdp-D4CE61A3.amecloud.de -user 20381Biesenthal -psw IhHfZyg1KLDoMPhRQ5tm -color 16 -alttab 1 -com on -smartcard on -select ...
'%HOMEPATH%\rdp6\tscredentials.exe' rdp-D4CE61A3.amecloud.de /Delete
'%HOMEPATH%\rdp6\tscredentials.exe' rdp-D4CE61A3.amecloud.de "20381Biesenthal" "IhHfZyg1KLDoMPhRQ5tm"
'%HOMEPATH%\rdp6\myremoteapp.exe'
'%HOMEPATH%\rdp6\svcr.exe' "MyRemoteApp.bin" %HOMEPATH%\RDP6\MyRemoteApp.exe
'%HOMEPATH%\rdp6\tscredentials.exe' rdp-D4CE61A3.amecloud.de /Delete' (со скрытым окном)
'%HOMEPATH%\rdp6\tscredentials.exe' rdp-D4CE61A3.amecloud.de "20381Biesenthal" "IhHfZyg1KLDoMPhRQ5tm"' (со скрытым окном)