Trojan.MulDrop20.5121

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"<SYSTEM32>\usbceip\WUDFHost.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'services' = '"<SYSTEM32>\msvcp140d\services.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\Far2\Documentation\eng\iexplore.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"<SYSTEM32>\usbceip\dwm.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"<SYSTEM32>\mprapi\lsass.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'services' = '"<SYSTEM32>\fthsvc\services.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\wininit.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\MSOCache\All Users\csrss.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"<SYSTEM32>\KBDFC\lsm.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Mozilla Firefox\icuuc52\firefox.exe"'

Создает или изменяет следующие файлы

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\usbceip\wudfhost.exe
%WINDIR%\syswow64\kbdfc\101b941d020240
%WINDIR%\syswow64\kbdfc\lsm.exe
C:\msocache\all users\886983d96e3d3e
C:\msocache\all users\csrss.exe
C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\56085415360792
C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\wininit.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\559fba5f8e4410
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe
%WINDIR%\syswow64\fthsvc\c5b4cb5e9653cc
%WINDIR%\syswow64\fthsvc\services.exe
%WINDIR%\syswow64\mprapi\6203df4a6bafc7
%WINDIR%\syswow64\mprapi\lsass.exe
%WINDIR%\syswow64\usbceip\6cb0b6c459d5d3
%WINDIR%\syswow64\usbceip\dwm.exe
C:\far2\documentation\eng\9db6e019d4f04e
C:\far2\documentation\eng\iexplore.exe
%WINDIR%\syswow64\msvcp140d\c5b4cb5e9653cc
%WINDIR%\syswow64\msvcp140d\services.exe
%WINDIR%\syswow64\usbceip\480b7989c529f6
%ProgramFiles(x86)%\mozilla firefox\icuuc52\firefox.exe
%ProgramFiles(x86)%\mozilla firefox\icuuc52\0fc223bdacedc3

Сетевая активность

Подключается к

Другое

Создает и запускает на исполнение

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'<SYSTEM32>\usbceip\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'<SYSTEM32>\msvcp140d\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Far2\Documentation\eng\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'<SYSTEM32>\usbceip\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'<SYSTEM32>\mprapi\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'<SYSTEM32>\fthsvc\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\MSOCache\All Users\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'<SYSTEM32>\KBDFC\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\icuuc52\firefox.exe'" /rl HIGHEST /f