Trojan.MulDrop21.34580

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\BlueStacks.Apk\Shell\open\command] '' = '%ProgramFiles%\BlueStacks_nxt\HD-ApkHandler.exe "%1"'
[<HKLM>\Software\Classes\BlueStacks.Xapk\Shell\open\command] '' = '%ProgramFiles%\BlueStacks_nxt\HD-XapkHandler.exe "%1"'
[<HKLM>\Software\Classes\BlueStacksGP\Shell\open\command] '' = '"%ProgramFiles%\BlueStacks_nxt\Bluestacks.exe" %1'
[<HKLM>\Software\Classes\BlueStacksGP_bgp64\Shell\open\command] '' = '"%ProgramFiles%\BlueStacks_nxt\Bluestacks.exe" %1'

Устанавливает следующие настройки сервисов

[<HKLM>\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt] 'Start' = '00000002'
[<HKLM>\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt] 'ImagePath' = '%ProgramFiles%\BlueStacks_nxt\BstkDrv_nxt.sys'

Создает следующие сервисы

'BlueStacksDrv_nxt' %ProgramFiles%\BlueStacks_nxt\BstkDrv_nxt.sys

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /IM "BstkSVC.exe" /F
'<SYSTEM32>\taskkill.exe' /IM "HD-Player.exe" /F
'<SYSTEM32>\net.exe' stop BlueStacksDrv_nxt

Изменения в файловой системе

Создает следующие файлы

%TEMP%\e494.tmp\e495.tmp\e496.bat

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\E494.tmp\E495.tmp\E496.bat <Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\E494.tmp\E495.tmp\E496.bat <Полный путь к файлу>"
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt" /v "DisplayName" /t REG_SZ /d "BlueStacks Hypervisor_nxt" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt" /v "ImagePath" /t REG_EXPAND_SZ /d "\??\%ProgramFiles%\BlueStacks_nxt\BstkDrv_nxt.sys" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt" /v "ErrorControl" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt" /v "Start" /t REG_DWORD /d "2" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt" /v "Type" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt\User" /v "Token" /t REG_SZ /d "" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt\User" /v "RegisteredEmail" /t REG_SZ /d "" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt\User" /v "IsPremium" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "CampaignJson" /t REG_SZ /d "" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "Version" /t REG_SZ /d "5.9.300.1014" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "IsUpgrade" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "UserDefinedDir" /t REG_SZ /d "%ALLUSERSPROFILE%\BlueStacks_nxt" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "InstallDir" /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\\" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "DataDir" /t REG_SZ /d "%ALLUSERSPROFILE%\BlueStacks_nxt\Engine\\" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "LogDir" /t REG_SZ /d "%ALLUSERSPROFILE%\BlueStacks_nxt\Logs\\" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\BlueStacks_nxt" /v "ApiToken" /t REG_SZ /d "50fa9d16-76ca-41b2-8ebd-6fc9abe07e84" /f
'<SYSTEM32>\reg.exe' add "HKCR\WOW6432Node\TypeLib\{BF033062-D25F-4FFA-A2E5-171B254976F2}\1.3\HELPDIR" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt" /f
'<SYSTEM32>\reg.exe' add "HKCR\WOW6432Node\TypeLib\{BF033062-D25F-4FFA-A2E5-171B254976F2}\1.3\0\win64" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\BstkProxyStub.dll" /f
'<SYSTEM32>\reg.exe' add "HKCR\TypeLib\{BF033062-D25F-4FFA-A2E5-171B254976F2}\1.3\HELPDIR" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt" /f
'<SYSTEM32>\reg.exe' add "HKCR\TypeLib\{BF033062-D25F-4FFA-A2E5-171B254976F2}\1.3\0\win64" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\BstkProxyStub.dll" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{da2c9029-6dce-4a86-aa3e-0551e61a0d56}\InprocServer32" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\BstkC.dll" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{6132dbf2-f3f0-4129-a31f-b5d26a0d491b}\LocalServer32" /ve /t REG_SZ /d "\"%ProgramFiles%\BlueStacks_nxt\BstkSVC.exe\"" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{3fd89761-2d6b-4862-a1de-b801676029bb}\InprocServer32" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\BstkC.dll" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{17990991-0189-4C3D-8892-002D4C7A48CB}\InProcServer32" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\BstkProxyStub.dll" /f
'<SYSTEM32>\reg.exe' add "HKCR\BlueStacksGP_bgp64\Shell\open\command" /ve /t REG_SZ /d "\"%ProgramFiles%\BlueStacks_nxt\Bluestacks.exe\" %1" /f
'<SYSTEM32>\reg.exe' add "HKCR\BlueStacksGP\Shell\open\command" /ve /t REG_SZ /d "\"%ProgramFiles%\BlueStacks_nxt\Bluestacks.exe\" %1" /f
'<SYSTEM32>\reg.exe' add "HKCR\BlueStacks.Xapk\Shell\open\command" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\HD-XapkHandler.exe \"%1\"" /f
'<SYSTEM32>\reg.exe' add "HKCR\BlueStacks.Apk\Shell\open\command" /ve /t REG_SZ /d "%ProgramFiles%\BlueStacks_nxt\HD-ApkHandler.exe \"%1\"" /f
'<SYSTEM32>\net1.exe' stop BlueStacksDrv_nxt
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\BlueStacksDrv_nxt\Security" /v "Security" /t REG_BINARY /d "010014808c00000098000000140000003000000002001c000100000002801400ff010f0001010000000000010...
'<SYSTEM32>\sc.exe' create BlueStacksDrv_nxt binPath= "%ProgramFiles%\BlueStacks_nxt\BstkDrv_nxt.sys" DisplayName= "BlueStacks Hypervisor_nxt" type= filesys