Trojan.MulDrop16.12337

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windows protection

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut3e47.tmp
%ALLUSERSPROFILE%\defender\windows protection.exe
%TEMP%\aut7457.tmp
%ALLUSERSPROFILE%\defender\winring0x64.sys
%TEMP%\aut7468.tmp
%ALLUSERSPROFILE%\defender\start.exe
%TEMP%\aut7479.tmp
%ALLUSERSPROFILE%\defender\start.vbs
%TEMP%\aut7489.tmp
%ALLUSERSPROFILE%\defender\k.bat
%TEMP%\aut748a.tmp
%ALLUSERSPROFILE%\defender\k.vbs
%ALLUSERSPROFILE%\defender\p.vbs
%TEMP%\resd45f.tmp
%TEMP%\aut74ab.tmp
%ALLUSERSPROFILE%\defender\s.vbs
%TEMP%\aut74ac.tmp
%ALLUSERSPROFILE%\defender\s.bat
%TEMP%\aut74bd.tmp
%ALLUSERSPROFILE%\defender\timeout.ps1
%TEMP%\89a8.tmp\89b9.tmp\89ba.bat
%TEMP%\albtj5qc.0.cs
%TEMP%\albtj5qc.cmdline
%TEMP%\albtj5qc.out
%TEMP%\cscd44f.tmp
%TEMP%\aut7292.tmp
%TEMP%\aut749b.tmp
%ALLUSERSPROFILE%\task host\svchost.exe
%TEMP%\aut3eab.tmp
%ALLUSERSPROFILE%\defender\a.exe
%TEMP%\aut3e67.tmp
%ALLUSERSPROFILE%\defender\d.bat
%TEMP%\aut3e78.tmp
%ALLUSERSPROFILE%\defender\d.vbs
%TEMP%\aut3e79.tmp
%ALLUSERSPROFILE%\defender\w.bat
%TEMP%\aut3e8a.tmp
%ALLUSERSPROFILE%\defender\d.exe
%TEMP%\aut3eaa.tmp
%ALLUSERSPROFILE%\defender\t.bat
%ALLUSERSPROFILE%\defender\t.vbs
%ALLUSERSPROFILE%\defender\config.json
%TEMP%\aut5400.tmp
%ALLUSERSPROFILE%\defender\ab.exe
%ALLUSERSPROFILE%\defender\dc.ini
%ALLUSERSPROFILE%\defender\dd.bat
%ALLUSERSPROFILE%\defender\ddd.bat
%ALLUSERSPROFILE%\defender\dc.exe
%ALLUSERSPROFILE%\defender\dd.vbs
%TEMP%\aut683c.tmp
%ALLUSERSPROFILE%\defender\ac.exe
%ALLUSERSPROFILE%\defender\min.exe
%TEMP%\aut71c5.tmp
%TEMP%\aut71d6.tmp
%TEMP%\albtj5qc.dll

Удаляет следующие файлы

%TEMP%\aut3e47.tmp
%TEMP%\albtj5qc.out
%TEMP%\albtj5qc.pdb
%TEMP%\albtj5qc.dll
%TEMP%\cscd44f.tmp
%TEMP%\resd45f.tmp
%TEMP%\89a8.tmp\89b9.tmp\89ba.bat
%TEMP%\aut74bd.tmp
%TEMP%\aut74ac.tmp
%TEMP%\aut74ab.tmp
%TEMP%\aut749b.tmp
%TEMP%\aut748a.tmp
%TEMP%\aut7489.tmp
%TEMP%\albtj5qc.0.cs
%TEMP%\aut7479.tmp
%TEMP%\aut7457.tmp
%TEMP%\aut7292.tmp
%TEMP%\aut71d6.tmp
%TEMP%\aut71c5.tmp
%TEMP%\aut683c.tmp
%TEMP%\aut5400.tmp
%TEMP%\aut3eab.tmp
%TEMP%\aut3eaa.tmp
%TEMP%\aut3e8a.tmp
%TEMP%\aut3e79.tmp
%TEMP%\aut3e78.tmp
%TEMP%\aut3e67.tmp
%TEMP%\aut7468.tmp
%TEMP%\albtj5qc.cmdline

Сетевая активность

Подключается к

'17#.#4.88.173':5501
'bc#.###l.minergate.com':45550

UDP

DNS ASK bc#.###l.minergate.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\Defender\d.vbs"
'%ALLUSERSPROFILE%\defender\min.exe'
'<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\Defender\p.vbs"
'%ALLUSERSPROFILE%\task host\svchost.exe'
'<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\Defender\s.vbs"
'%ALLUSERSPROFILE%\defender\windows protection.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -executionpolicy Unrestricted %ALLUSERSPROFILE%\Defender\timeout.ps1
'%ALLUSERSPROFILE%\defender\ac.exe' -pMym5DNNMnqsLhbcZaef2Zau9zuxyKFRzEav3QTVA
'%ALLUSERSPROFILE%\defender\start.exe'
'%ALLUSERSPROFILE%\defender\d.exe' 61 %ALLUSERSPROFILE%\Defender\dd.bat
'%ALLUSERSPROFILE%\defender\ab.exe' -pMym5DNNMnqsLhbcZaef2Zau9zuxyKFRzEav3QTVA
'%ALLUSERSPROFILE%\defender\d.exe' 61 %ALLUSERSPROFILE%\Defender\d.bat
'%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\Defender\dd.vbs"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD45F.tmp" "%TEMP%\CSCD44F.tmp"' (со скрытым окном)
'%ALLUSERSPROFILE%\defender\d.exe' 61 %ALLUSERSPROFILE%\Defender\dd.bat' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "%TEMP%\89A8.tmp\89B9.tmp\89BA.bat %ALLUSERSPROFILE%\Defender\Start.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Defender\t.bat" "' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%ALLUSERSPROFILE%\Defender\s.bat" "' (со скрытым окном)
'%ALLUSERSPROFILE%\task host\svchost.exe' ' (со скрытым окном)
'%ALLUSERSPROFILE%\defender\d.exe' 61 %ALLUSERSPROFILE%\Defender\d.bat' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\albtj5qc.cmdline"' (со скрытым окном)
'%ALLUSERSPROFILE%\defender\windows protection.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Defender\t.bat" "
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC ONLOGON /TN "Windows Protection" /TR "%ALLUSERSPROFILE%\Defender\Start.exe" /f
'<SYSTEM32>\cmd.exe' /c "%TEMP%\89A8.tmp\89B9.tmp\89BA.bat %ALLUSERSPROFILE%\Defender\Start.exe"
'<SYSTEM32>\timeout.exe' /t 10
'<SYSTEM32>\cmd.exe' /c ""%ALLUSERSPROFILE%\Defender\s.bat" "
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\albtj5qc.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD45F.tmp" "%TEMP%\CSCD44F.tmp"