Trojan.MulDrop20.13020

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\firefoxf
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\csrssc
<SYSTEM32>\tasks\winlogonw
<SYSTEM32>\tasks\systems
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\system
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\servicess
<SYSTEM32>\tasks\services

Изменения в файловой системе

Создает следующие файлы

%TEMP%\vova.exe
%TEMP%\iyksf4sxjv
%WINDIR%\resources\ease of access themes\c5b4cb5e9653cc
%WINDIR%\resources\ease of access themes\services.exe
%ProgramFiles%\cavsn\b75386f1303e64
%ProgramFiles%\cavsn\taskhost.exe
C:\totalcmd\language\6ccacd8608530f
C:\totalcmd\language\idle.exe
%WINDIR%\branding\basebrd\en-us\9db6e019d4f04e
%WINDIR%\branding\basebrd\en-us\iexplore.exe
<Текущая директория>\886983d96e3d3e
<Текущая директория>\csrss.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cc11b995f2a76d
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe
%ProgramFiles(x86)%\adobe\acrobat reader dc\esl\27d1bcfc3c54e0
%ProgramFiles(x86)%\adobe\acrobat reader dc\esl\system.exe
<Текущая директория>\0fc223bdacedc3
<Текущая директория>\firefox.exe
%TEMP%\odwvidy3jj.bat
nul

Удаляет следующие файлы

%TEMP%\iyksf4sxjv

Сетевая активность

UDP

'localhost':123

Другое

Создает и запускает на исполнение

'%TEMP%\vova.exe'
'C:\totalcmd\language\idle.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\OdWVIdy3Jj.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 11 /tr "'<Текущая директория>\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'%WINDIR%\Resources\Ease of Access Themes\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 5 /tr "'%WINDIR%\Resources\Ease of Access Themes\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Far2/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/gjqxcfvn/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/totalcmd/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
'<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 12 /tr "'%WINDIR%\Resources\Ease of Access Themes\services.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\OdWVIdy3Jj.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\CavSn\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 13 /tr "'%ProgramFiles%\CavSn\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 6 /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 8 /tr "'%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Esl\System.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Esl\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Esl\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 11 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 9 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 13 /tr "'<Текущая директория>\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 14 /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'%WINDIR%\Branding\Basebrd\en-US\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%WINDIR%\Branding\Basebrd\en-US\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 6 /tr "'%WINDIR%\Branding\Basebrd\en-US\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 13 /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ProgramFiles%\CavSn\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2