Trojan.MulDrop16.12338

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im QwestTouchPointAgent.exe /im CenturyLinkTouchPointAgent.exe /im QwestInstaller.exe /im QwestInstallerApp.exe /im CenturyLinkInstaller.exe /im CenturyLinkInstallerApp.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\centurylinkinstallersetup.exe
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is52bb.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\def52ab.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isr52aa.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\str5299.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isb5298.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\dot5287.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\cor5286.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\dif5276.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fon5275.tmp
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\set5264.tmp
%TEMP%\5225.tmp
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\0x0409.ini
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\setup.ini
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\setup.iss
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\setup.inx
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\setup.ini
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\setup.exe
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\md5sum.exe
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\license.rtf
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\layout.bin
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\issetup.dll
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\data1.hdr
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\data1.cab
%TEMP%\{d67c994b-cd1e-4ae3-b78d-cdedcc44e699}\disk1\0x0409.ini
%TEMP%\rarsfx0\config.ini
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is52bc.tmp
%WINDIR%\centurylinkinstallersetup.log

Перемещает следующие файлы

%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\set5264.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\setup.inx
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fon5275.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fontdata.ini
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\dif5276.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\difxdata.ini
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\cor5286.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\corecomp.ini
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\dot5287.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\dotnetinstaller.exe
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isb5298.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\str5299.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\stringtable_0x0409.ips
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isr52aa.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isrt.dll
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\def52ab.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\default.pal
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is52bb.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isuser_0x0409.dll
%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is52bc.tmp в %TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isres_0x0409.dll

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\centurylinkinstallersetup.exe'
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{FD67E297-EE70-4E9D-8861-80B7FA6758DC}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{FFBA6233-3088-44D5-BB2C-D03470E9B5ED}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{A03BA4C8-CF64-4A3B-958F-0F07DA2501F8}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{37D07891-20BE-43CE-B30D-5D35EF337DFF}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{ECDEBA74-C247-44B9-9FCA-5FF11D5A34BB}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{D8247E87-6CBE-4CBD-8AFF-87DFC0A60D94}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{60A724A5-3B57-4E2F-A4E6-2AAB073FA6B6}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{F3271DC7-C838-430A-BD50-B4281228B392}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{B69D69D7-45BD-40B4-A7C2-5CDDB433256F}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{CD6254EA-9522-4769-AF9C-C93CB5306657}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{35C8DA64-E97F-4712-9AB6-253C9062F355}
'%TEMP%\{16a9cd48-e1f2-4478-8340-346a34a4db4a}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{3B9BBE9D-B773-4F5D-8A98-6CE9B723C009}
'%WINDIR%\syswow64\taskkill.exe' /f /im QwestTouchPointAgent.exe /im CenturyLinkTouchPointAgent.exe /im QwestInstaller.exe /im QwestInstallerApp.exe /im CenturyLinkInstaller.exe /im CenturyLinkInstallerApp.exe' (со скрытым окном)