Trojan.MulDrop7.50057

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\luban] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\luban] 'ImagePath' = '%APPDATA%\12169798112\luban.exe'

Создает следующие сервисы

'luban' %APPDATA%\12169798112\luban.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-omifr.tmp\<Имя файла>.tmp
%APPDATA%\12169798112\resource\is-i2v4l.tmp
%APPDATA%\12169798112\resource\is-r1tn6.tmp
%APPDATA%\12169798112\resource\is-cfuku.tmp
%APPDATA%\12169798112\resource\is-nm1ab.tmp
%APPDATA%\12169798112\resource\is-9g213.tmp
%APPDATA%\12169798112\resource\is-t99i9.tmp
%APPDATA%\12169798112\resource\is-omcj9.tmp
%APPDATA%\12169798112\resource\is-4s0mv.tmp
%APPDATA%\12169798112\resource\is-c9kgo.tmp
%APPDATA%\12169798112\resource\is-pooqq.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-8e0us.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-9aggo.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\zh_cn\is-lqv1v.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\en\is-5ruq2.tmp
%APPDATA%\12169798112\resource\is-6nsho.tmp
%APPDATA%\12169798112\resource\is-lsg65.tmp
%APPDATA%\12169798112\is-v3gdq.tmp
%APPDATA%\12169798112\resource\is-bddh9.tmp
%APPDATA%\12169798112\is-blsqf.tmp
%APPDATA%\12169798112\xmlconfig\is-ulo58.tmp
%APPDATA%\12169798112\xmlconfig\is-0gf2l.tmp
%APPDATA%\12169798112\resource\directui\is-m93kd.tmp
%APPDATA%\12169798112\resource\directui\is-daeep.tmp
%APPDATA%\12169798112\resource\directui\is-a0qjh.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-i51ku.tmp
%APPDATA%\12169798112\resource\directui\is-d6bgh.tmp
%APPDATA%\12169798112\resource\is-a3tro.tmp
%APPDATA%\12169798112\resource\is-jggt4.tmp
%APPDATA%\12169798112\resource\is-5670k.tmp
%APPDATA%\12169798112\resource\is-ba38c.tmp
%APPDATA%\12169798112\resource\is-0v5lj.tmp
%APPDATA%\12169798112\resource\is-ntup9.tmp
%APPDATA%\12169798112\resource\is-0hnki.tmp
%APPDATA%\12169798112\resource\is-dttka.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-eps2i.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-7he6i.tmp
%APPDATA%\12169798112\extensions\is-9s3uv.tmp
%APPDATA%\12169798112\extensions\is-h88g8.tmp
%APPDATA%\12169798112\is-9sn85.tmp
%APPDATA%\12169798112\is-vlv6p.tmp
%APPDATA%\12169798112\is-4pppp.tmp
%APPDATA%\12169798112\is-ace1d.tmp
%APPDATA%\12169798112\extensions\is-ngf7p.tmp
%APPDATA%\12169798112\is-o3ko6.tmp
%APPDATA%\12169798112\is-ca7o3.tmp
%APPDATA%\12169798112\is-vnn39.tmp
%APPDATA%\12169798112\is-asl8c.tmp
%TEMP%\is-9hrc6.tmp\istask.dll
%TEMP%\is-9hrc6.tmp\_isetup\_shfoldr.dll
%TEMP%\is-9hrc6.tmp\_isetup\_setup64.tmp
%APPDATA%\12169798112\is-ql87d.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\en\is-52a8g.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-fnkd8.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-5v4pe.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-qh65c.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-ju4me.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-67slt.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-c925l.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-d6l0e.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-1vgfl.tmp
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-n166u.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\zh_cn\is-eml95.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-b9pqd.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-9v05e.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-bvkut.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-8jif1.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-r47bh.tmp
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-2k932.tmp
%APPDATA%\12169798112\extensions\is-dipg1.tmp
C:\users\public\desktop\ВјГІГґВјГЁГµГ Гє.lnk

Удаляет следующие файлы

%APPDATA%\12169798112\dataview.dll
%TEMP%\is-9hrc6.tmp\istask.dll
%TEMP%\is-9hrc6.tmp\_isetup\_setup64.tmp
%TEMP%\is-9hrc6.tmp\_isetup\_shfoldr.dll
%TEMP%\is-omifr.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%APPDATA%\12169798112\is-asl8c.tmp в %APPDATA%\12169798112\config.ini
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-9aggo.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\computed_hashes.json
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-8e0us.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\verified_contents.json
%APPDATA%\12169798112\resource\is-pooqq.tmp в %APPDATA%\12169798112\resource\arrow_left.png
%APPDATA%\12169798112\resource\is-c9kgo.tmp в %APPDATA%\12169798112\resource\arrow_right.png
%APPDATA%\12169798112\resource\is-6nsho.tmp в %APPDATA%\12169798112\resource\box_check.png
%APPDATA%\12169798112\resource\is-4s0mv.tmp в %APPDATA%\12169798112\resource\browser.png
%APPDATA%\12169798112\resource\is-t99i9.tmp в %APPDATA%\12169798112\resource\btnbk.png
%APPDATA%\12169798112\resource\is-9g213.tmp в %APPDATA%\12169798112\resource\btn_alpha.png
%APPDATA%\12169798112\resource\is-nm1ab.tmp в %APPDATA%\12169798112\resource\btn_cancel.png
%APPDATA%\12169798112\resource\is-cfuku.tmp в %APPDATA%\12169798112\resource\btn_close.png
%APPDATA%\12169798112\resource\is-r1tn6.tmp в %APPDATA%\12169798112\resource\btn_min.png
%APPDATA%\12169798112\resource\is-i2v4l.tmp в %APPDATA%\12169798112\resource\btn_ok.png
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\en\is-5ruq2.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\en\messages.json
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\zh_cn\is-lqv1v.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\zh_cn\messages.json
%APPDATA%\12169798112\resource\is-omcj9.tmp в %APPDATA%\12169798112\resource\btn_today.png
%APPDATA%\12169798112\resource\is-bddh9.tmp в %APPDATA%\12169798112\resource\license.txt
%APPDATA%\12169798112\resource\is-ntup9.tmp в %APPDATA%\12169798112\resource\logo.png
%APPDATA%\12169798112\resource\is-0v5lj.tmp в %APPDATA%\12169798112\resource\mainbk.png
%APPDATA%\12169798112\resource\is-ba38c.tmp в %APPDATA%\12169798112\resource\menubutton.png
%APPDATA%\12169798112\resource\is-5670k.tmp в %APPDATA%\12169798112\resource\now_start.png
%APPDATA%\12169798112\resource\is-jggt4.tmp в %APPDATA%\12169798112\resource\radio.png
%APPDATA%\12169798112\resource\is-a3tro.tmp в %APPDATA%\12169798112\resource\return.png
%APPDATA%\12169798112\resource\is-lsg65.tmp в %APPDATA%\12169798112\resource\wtl.exe.manifest
%APPDATA%\12169798112\resource\directui\is-d6bgh.tmp в %APPDATA%\12169798112\resource\directui\scrollarrowdown.bmp
%APPDATA%\12169798112\resource\directui\is-a0qjh.tmp в %APPDATA%\12169798112\resource\directui\scrollarrowup.bmp
%APPDATA%\12169798112\resource\directui\is-daeep.tmp в %APPDATA%\12169798112\resource\directui\scrollbar.bmp
%APPDATA%\12169798112\resource\directui\is-m93kd.tmp в %APPDATA%\12169798112\resource\directui\srollbk.bmp
%APPDATA%\12169798112\resource\is-0hnki.tmp в %APPDATA%\12169798112\resource\calendar.ico
%APPDATA%\12169798112\resource\is-dttka.tmp в %APPDATA%\12169798112\resource\comboxbk.png
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-i51ku.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\icon.gif
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-eps2i.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\crx.png
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-n166u.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\popup.html
%APPDATA%\12169798112\is-ca7o3.tmp в %APPDATA%\12169798112\dataview64.dll
%APPDATA%\12169798112\is-ql87d.tmp в %APPDATA%\12169798112\fixfunction.dll
%APPDATA%\12169798112\is-o3ko6.tmp в %APPDATA%\12169798112\istask.dll
%APPDATA%\12169798112\is-ace1d.tmp в %APPDATA%\12169798112\jywebhelper.dll
%APPDATA%\12169798112\is-4pppp.tmp в %APPDATA%\12169798112\kan.exe
%APPDATA%\12169798112\is-vlv6p.tmp в %APPDATA%\12169798112\luban.exe
%APPDATA%\12169798112\is-9sn85.tmp в %APPDATA%\12169798112\lubanassist.exe
%APPDATA%\12169798112\extensions\is-h88g8.tmp в %APPDATA%\12169798112\extensions\jychromeex.crx
%APPDATA%\12169798112\extensions\is-9s3uv.tmp в %APPDATA%\12169798112\extensions\jysougou.sext
%APPDATA%\12169798112\extensions\is-ngf7p.tmp в %APPDATA%\12169798112\extensions\sec_setting.json
%APPDATA%\12169798112\extensions\is-dipg1.tmp в %APPDATA%\12169798112\extensions\setting.json
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-7he6i.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\background.html
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-5v4pe.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\background.js
%APPDATA%\12169798112\is-vnn39.tmp в %APPDATA%\12169798112\dataview.dll
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-2k932.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\calmath.js
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-8jif1.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\manifest.json
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-bvkut.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\popup.html
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-9v05e.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\crx.png
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\is-b9pqd.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\res\icon.gif
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\en\is-52a8g.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\en\messages.json
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\zh_cn\is-eml95.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_locales\zh_cn\messages.json
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-1vgfl.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\computed_hashes.json
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\is-d6l0e.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\_metadata\verified_contents.json
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-c925l.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\background.html
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-67slt.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\background.js
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-ju4me.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\calmath.js
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-qh65c.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\contentscript.js
%APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-fnkd8.tmp в %APPDATA%\12169798112\extensions\int2\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\manifest.json
%APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\is-r47bh.tmp в %APPDATA%\12169798112\extensions\chrome\agldbfddbnomkfpfhmnkaedpckmcjhdi\4.0.2_0\contentscript.js
%APPDATA%\12169798112\xmlconfig\is-0gf2l.tmp в %APPDATA%\12169798112\xmlconfig\install.xml
%APPDATA%\12169798112\xmlconfig\is-ulo58.tmp в %APPDATA%\12169798112\xmlconfig\riliclient.xml

Подменяет следующие файлы

%APPDATA%\12169798112\dataview.dll

Сетевая активность

Подключается к

'jy##li.com':80

TCP

Запросы HTTP GET

http://www.jy##li.com/client.do/?me#####################################################################################
http://www.jy##li.com/client.do/?&m##############################################################################################################################################################...
http://www.jy##li.com/client.do/?me###############################################################################

UDP

DNS ASK jy##li.com

Другое

Создает и запускает на исполнение

'%TEMP%\is-omifr.tmp\<Имя файла>.tmp' /SL5="$14023C,1000486,56832,<Полный путь к файлу>"
'%APPDATA%\12169798112\luban.exe' -i
'%APPDATA%\12169798112\luban.exe'
'%APPDATA%\12169798112\lubanassist.exe' BootDoThings
'%WINDIR%\syswow64\sc.exe' stop luban' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete luban' (со скрытым окном)
'%APPDATA%\12169798112\luban.exe' -i' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' start luban' (со скрытым окном)
'%APPDATA%\12169798112\lubanassist.exe' BootDoThings' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\regsvr32.exe' /s "%APPDATA%\12169798112\DataView.dll"
'%WINDIR%\syswow64\sc.exe' stop luban
'%WINDIR%\syswow64\sc.exe' delete luban
'%WINDIR%\syswow64\net.exe' start luban
'%WINDIR%\syswow64\net1.exe' start luban

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней