Trojan.MulDrop18.12782

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\system\systemcheck

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut32f2.tmp
%TEMP%\asacpiex.dll
%TEMP%\cr_debug_log.txt
%TEMP%\aut3e58.tmp
%TEMP%\cl_debug_log.txt
%TEMP%\aut3ec6.tmp
%TEMP%\exloader_installer.exe
%TEMP%\32.exe
%TEMP%\64.exe
%TEMP%\systemcheck.xml
%APPDATA%\microsoft\windows\helper.exe
nul

Удаляет следующие файлы

%TEMP%\aut32f2.tmp
%TEMP%\aut3e58.tmp
%TEMP%\aut3ec6.tmp
%TEMP%\systemcheck.xml
%TEMP%\32.exe
%TEMP%\64.exe
%TEMP%\cl_debug_log.txt
%TEMP%\cr_debug_log.txt
%TEMP%\asacpiex.dll

Другое

Создает и запускает на исполнение

'%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"
'%TEMP%\exloader_installer.exe'
'%APPDATA%\microsoft\windows\helper.exe' -SystemCheck
'%APPDATA%\microsoft\windows\helper.exe' -SystemCheck95495
'%APPDATA%\microsoft\windows\helper.exe' e -p"DxSqsNKKOxqPrM4Y3xeK" "%APPDATA%\Microsoft\Windows\Tor.tmp" -o"%APPDATA%\Microsoft\Windows\Tor\"
'%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"' (со скрытым окном)
'%APPDATA%\microsoft\windows\helper.exe' -SystemCheck' (со скрытым окном)
'%APPDATA%\microsoft\windows\helper.exe' e -p"DxSqsNKKOxqPrM4Y3xeK" "%APPDATA%\Microsoft\Windows\Tor.tmp" -o"%APPDATA%\Microsoft\Windows\Tor\"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
'<SYSTEM32>\reg.exe' query "HKEY_CURRENT_USER\Software\Yandex\YandexBrowser" /v "last_startup_time"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_CURRENT_USER\Software\Yandex\YandexBrowser" /v "last_startup_time""
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language" /v "InstallLanguage"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language" /v "InstallLanguage""
'<SYSTEM32>\reg.exe' query "HKEY_USERS\.DEFAULT\Control Panel\International\Geo" /v "Nation"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_USERS\.DEFAULT\Control Panel\International\Geo" /v "Nation""
'<SYSTEM32>\reg.exe' query "HKEY_CURRENT_USER\Control Panel\International\Geo" /v "Nation"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_CURRENT_USER\Control Panel\International\Geo" /v "Nation""
'<SYSTEM32>\reg.exe' query "HKEY_USERS\.DEFAULT\Control Panel\International\Geo" /v "Name"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_USERS\.DEFAULT\Control Panel\International\Geo" /v "Name""
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_CURRENT_USER\Software\Wow6432Node\Yandex\YandexBrowser" /v "last_startup_time""
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies\Servicing" /v "CountryCode"
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Servicing" /v "CountryCode"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Servicing" /v "CountryCode""
'<SYSTEM32>\reg.exe' query "HKEY_CURRENT_USER\Control Panel\International\Geo" /v "Name"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_CURRENT_USER\Control Panel\International\Geo" /v "Name""
'<SYSTEM32>\reg.exe' query "HKU\S-1-5-19"
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKU\S-1-5-19""
'<SYSTEM32>\taskeng.exe' {499D71F3-EEE6-4568-9168-61FB1FBEFE06} S-1-5-21-1960123792-2022915161-3775307078-1001:bpwqlxn\user:Interactive:[1]
'%ProgramFiles%\java\jre1.8.0_45\bin\javaw.exe' -Dfile.encoding=UTF-8 -classpath "%TEMP%\ExLoader_installer.exe" org.develnext.jphp.ext.javafx.FXLauncher
'%WINDIR%\syswow64\schtasks.exe' /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\chcp 65001>nul & reg query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies\Servicing" /v "CountryCode""
'<SYSTEM32>\reg.exe' query "HKEY_CURRENT_USER\Software\Wow6432Node\Yandex\YandexBrowser" /v "last_startup_time"