Trojan.MulDrop17.51190

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_ir_sf_temp_0\irsetup.exe
%WINDIR%\mgi\metro_background.jpg
%WINDIR%\mgi\metro_lock.jpg
%WINDIR%\mgi\metro_screensaver.scr
%WINDIR%\mgi\metro_w10.theme
%WINDIR%\mgi\mgifunction.vbs
%WINDIR%\mgi\msys support.exe
%WINDIR%\mgi\pagedfrg.exe
%WINDIR%\mgi\pagedfrg.hlp
%WINDIR%\mgi\procexp.chm
%WINDIR%\mgi\procexp.exe
%WINDIR%\mgi\procmon.chm
%WINDIR%\mgi\procmon.exe
%WINDIR%\mgi\server.bgi
%WINDIR%\mgi\sleep.exe
%WINDIR%\mgi\startup.jpg
%WINDIR%\mgi\syncfiles.exe
%WINDIR%\mgi\tcpview.chm
%WINDIR%\mgi\tcpview.exe
%WINDIR%\mgi\tcpview.hlp
%WINDIR%\mgi\thumbs.db
%WINDIR%\mgi\uptime.exe
%WINDIR%\mgi\uptime.vbs
%ProgramFiles(x86)%\glow\config\pkgvars.exe
%WINDIR%\mgi\metrosystems.gif
%WINDIR%\mgi\certs\scup-signing.cer
%WINDIR%\mgi\metroresources.dll
%WINDIR%\mgi\metro.pow
%TEMP%\_ir_sf_temp_0\lua5.1.dll
%TEMP%\_ir_sf_temp_0\irsetup.dat
%TEMP%\wonderland setup log.txt
%ProgramFiles%\glow\config\location_country.ini
%ProgramFiles%\glow\config\pkgvars.exe
C:\temp\certutil.exe
C:\temp\wsuspublishers.cer
%ProgramFiles%\scup certificate\scup.txt
%WINDIR%\mgi\certs\addtrustexternalcaroot.crt
%WINDIR%\mgi\certs\certificate2016.cer
%WINDIR%\mgi\certs\comodorsaaddtrustca.crt
%WINDIR%\mgi\certs\comodorsacodesigningca.crt
%WINDIR%\mgi\audit.ps1
%WINDIR%\mgi\bginfo.exe
%WINDIR%\mgi\cmtrace.exe
%WINDIR%\mgi\diskspace.vbs
%WINDIR%\mgi\eula.txt
%WINDIR%\mgi\icon.vbs
%WINDIR%\mgi\ipadress.vbs
%WINDIR%\mgi\kerbtray.exe
%WINDIR%\mgi\kix32.exe
%WINDIR%\mgi\memory.vbs
%WINDIR%\mgi\messagebox.exe
%WINDIR%\mgi\metro.theme
%ProgramFiles(x86)%\glow\config\location_country.ini

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\mgi\thumbs.db

Удаляет следующие файлы

%TEMP%\_ir_sf_temp_0\irsetup.dat
C:\temp\certutil.exe
C:\temp\wsuspublishers.cer
%TEMP%\_ir_sf_temp_0\irsetup.exe
%TEMP%\_ir_sf_temp_0\lua5.1.dll

Другое

Добавляет корневой сертификат

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:5581570 "__IRAFN:<Полный путь к файлу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-1960123792-2022915161-3775307078-1001"
'C:\temp\certutil.exe' -addstore Root c:\temp\WSUSpublishers.cer
'C:\temp\certutil.exe' -addstore TrustedPublisher c:\temp\WSUSpublishers.cer
'C:\temp\certutil.exe' -addstore TrustedPublisher %WINDIR%\mgi\certs\SCUP-Signing.cer
'C:\temp\certutil.exe' -addstore Root c:\temp\WSUSpublishers.cer' (со скрытым окном)
'C:\temp\certutil.exe' -addstore TrustedPublisher c:\temp\WSUSpublishers.cer' (со скрытым окном)
'C:\temp\certutil.exe' -addstore TrustedPublisher %WINDIR%\mgi\certs\SCUP-Signing.cer' (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%ProgramFiles%\GloW\Log" /grant:r *S-1-5-32-545:(OI)(CI)(M) /C /T' (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%ProgramFiles%\GloW\Log" /grant:r *S-1-1-0:(OI)(CI)(M) /C /T' (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%ProgramFiles(x86)%\GloW\Log" /grant:r *S-1-5-32-545:(OI)(CI)(M) /C /T' (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%ProgramFiles(x86)%\GloW\Log" /grant:r *S-1-1-0:(OI)(CI)(M) /C /T' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\icacls.exe' "%ProgramFiles%\GloW\Log" /grant:r *S-1-5-32-545:(OI)(CI)(M) /C /T
'<SYSTEM32>\icacls.exe' "%ProgramFiles%\GloW\Log" /grant:r *S-1-1-0:(OI)(CI)(M) /C /T
'<SYSTEM32>\icacls.exe' "%ProgramFiles(x86)%\GloW\Log" /grant:r *S-1-5-32-545:(OI)(CI)(M) /C /T
'<SYSTEM32>\icacls.exe' "%ProgramFiles(x86)%\GloW\Log" /grant:r *S-1-1-0:(OI)(CI)(M) /C /T