Trojan.MulDrop19.64821

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop OutlineService

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nss1871.tmp\system.dll
%ProgramFiles(x86)%\outline\outline.exe
%ProgramFiles(x86)%\outline\libglesv2.dll
%ProgramFiles(x86)%\outline\libegl.dll
%ProgramFiles(x86)%\outline\ffmpeg.dll
%ProgramFiles(x86)%\outline\d3dcompiler_47.dll
%ProgramFiles(x86)%\outline\vk_swiftshader_icd.json
%ProgramFiles(x86)%\outline\v8_context_snapshot.bin
%ProgramFiles(x86)%\outline\snapshot_blob.bin
%ProgramFiles(x86)%\outline\resources\app.asar
%ProgramFiles(x86)%\outline\resources\app-update.yml
%ProgramFiles(x86)%\outline\resources\app.asar.unpacked\third_party\badvpn\win32\badvpn-tun2socks.exe
%ProgramFiles(x86)%\outline\resources.pak
%ProgramFiles(x86)%\outline\locales\zh-cn.pak
%ProgramFiles(x86)%\outline\locales\vi.pak
%ProgramFiles(x86)%\outline\locales\uk.pak
%ProgramFiles(x86)%\outline\locales\tr.pak
%ProgramFiles(x86)%\outline\locales\th.pak
%ProgramFiles(x86)%\outline\locales\te.pak
%ProgramFiles(x86)%\outline\locales\ta.pak
%ProgramFiles(x86)%\outline\locales\sw.pak
%ProgramFiles(x86)%\outline\locales\sv.pak
%ProgramFiles(x86)%\outline\locales\sr.pak
%ProgramFiles(x86)%\outline\locales\zh-tw.pak
%ProgramFiles(x86)%\outline\tap-windows6\oemvista.inf
%TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\set66ce.tmp
%ProgramFiles(x86)%\outline\resources\elevate.exe
%TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\set65e3.tmp
%ProgramFiles(x86)%\outline\install_windows_service.bat
%ProgramFiles(x86)%\outline\newtonsoft.json.dll
%ProgramFiles(x86)%\outline\smartdnsblock.exe
%ProgramFiles(x86)%\outline\outlineservice.exe
%TEMP%\nss1871.tmp\nsexec.dll
%ProgramFiles(x86)%\outline\find_tap_device_name.bat
%ProgramFiles(x86)%\outline\add_tap_device.bat
%ProgramFiles(x86)%\outline\tap-windows6\tapinstall.exe
%ProgramFiles(x86)%\outline\tap-windows6\tap0901.sys
%ProgramFiles(x86)%\outline\locales\sl.pak
%ProgramFiles(x86)%\outline\tap-windows6\tap0901.cat
%TEMP%\nss1871.tmp\userinfo.dll
C:\users\public\desktop\outline.lnk
%TEMP%\nss1871.tmp\winshell.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\outline.lnk
%ProgramFiles(x86)%\outline\uninstall outline.exe
%LOCALAPPDATA%\outline-client-updater\installer.exe
%ProgramFiles(x86)%\outline\vulkan-1.dll
%ProgramFiles(x86)%\outline\vk_swiftshader.dll
%ProgramFiles(x86)%\outline\swiftshader\libglesv2.dll
%ProgramFiles(x86)%\outline\swiftshader\libegl.dll
%ProgramFiles(x86)%\outline\resources\app.asar.unpacked\third_party\outline-go-tun2socks\win32\tun2socks.exe
%ProgramFiles(x86)%\outline\resources\app.asar.unpacked\third_party\shadowsocks-libev\win32\ss-local.exe
%ProgramFiles(x86)%\outline\locales\sk.pak
%ProgramFiles(x86)%\outline\locales\fa.pak
%ProgramFiles(x86)%\outline\locales\es-419.pak
%ProgramFiles(x86)%\outline\locales\en-us.pak
%ProgramFiles(x86)%\outline\locales\en-gb.pak
%ProgramFiles(x86)%\outline\locales\el.pak
%ProgramFiles(x86)%\outline\locales\de.pak
%ProgramFiles(x86)%\outline\locales\da.pak
%ProgramFiles(x86)%\outline\locales\cs.pak
%ProgramFiles(x86)%\outline\locales\ca.pak
%ProgramFiles(x86)%\outline\locales\bn.pak
%ProgramFiles(x86)%\outline\locales\bg.pak
%ProgramFiles(x86)%\outline\locales\es.pak
%ProgramFiles(x86)%\outline\locales\ar.pak
%ProgramFiles(x86)%\outline\licenses.chromium.html
%ProgramFiles(x86)%\outline\license.electron.txt
%ProgramFiles(x86)%\outline\icudtl.dat
%ProgramFiles(x86)%\outline\chrome_200_percent.pak
%ProgramFiles(x86)%\outline\chrome_100_percent.pak
%TEMP%\nss1871.tmp\nsis7z.dll
%TEMP%\nss1871.tmp\app-32.7z
%TEMP%\nss1871.tmp\nsprocess.dll
%TEMP%\nss1871.tmp\spiderbanner.dll
%TEMP%\nss1871.tmp\stdutils.dll
%ProgramFiles(x86)%\outline\locales\am.pak
%ProgramFiles(x86)%\outline\locales\kn.pak
%ProgramFiles(x86)%\outline\locales\ro.pak
%ProgramFiles(x86)%\outline\locales\fi.pak
%ProgramFiles(x86)%\outline\locales\pt-pt.pak
%ProgramFiles(x86)%\outline\locales\pt-br.pak
%ProgramFiles(x86)%\outline\locales\pl.pak
%ProgramFiles(x86)%\outline\locales\nl.pak
%ProgramFiles(x86)%\outline\locales\nb.pak
%ProgramFiles(x86)%\outline\locales\ms.pak
%ProgramFiles(x86)%\outline\locales\mr.pak
%ProgramFiles(x86)%\outline\locales\ml.pak
%ProgramFiles(x86)%\outline\locales\lv.pak
%ProgramFiles(x86)%\outline\locales\lt.pak
%ProgramFiles(x86)%\outline\locales\ru.pak
%ProgramFiles(x86)%\outline\locales\ko.pak
%ProgramFiles(x86)%\outline\locales\ja.pak
%ProgramFiles(x86)%\outline\locales\it.pak
%ProgramFiles(x86)%\outline\locales\id.pak
%ProgramFiles(x86)%\outline\locales\hu.pak
%ProgramFiles(x86)%\outline\locales\hr.pak
%ProgramFiles(x86)%\outline\locales\hi.pak
%ProgramFiles(x86)%\outline\locales\he.pak
%ProgramFiles(x86)%\outline\locales\gu.pak
%ProgramFiles(x86)%\outline\locales\fr.pak
%ProgramFiles(x86)%\outline\locales\fil.pak
%ProgramFiles(x86)%\outline\locales\et.pak
%TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\set67d8.tmp

Перемещает следующие файлы

%TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\set65e3.tmp в %TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\oemvista.inf
%TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\set66ce.tmp в %TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\tap0901.cat
%TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\set67d8.tmp в %TEMP%\{0fdc4dc9-f719-4c7b-03a5-972170a1a719}\tap0901.sys

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: 'SysListView32' WindowName: ''
ClassName: '' WindowName: 'Digital Signature Not Found'

Создает и запускает на исполнение

'%ProgramFiles(x86)%\outline\tap-windows6\tapinstall.exe' install tap-windows6\OemVista.inf tap0901
'%WINDIR%\syswow64\cmd.exe' /c add_tap_device.bat' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop OutlineService' (со скрытым окном)

Запускает на исполнение