Trojan.MulDrop21.41546

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dllhost' = '<Полный путь к файлу>'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityHealthSystray' = '<SYSTEM32>\SecurityHealthSystray.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsDefender' = '%ProgramFiles%\Windows Defender\MpCmdRun.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Cortana' = '%ProgramFiles%\WindowsApps\Microsoft.x64__8wekyb3gfdfdgd8bbwe\Cortana.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '<SYSTEM32>\wbem\WmiPrvSE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AntiMalwareServiceExecutable' = '%ALLUSERSPROFILE%\Microsoft\Windows Defender\Platform\4.18.2111.5-0\MsMpEng.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftEdgeUpd' = '%ProgramFiles%\WindowsApps\Microsoft.x64__8wekyb3gfdfdgd8bbwe/file.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveService' = '%ProgramFiles%\WindowsApps\Microsoft.x64__8wekyb3gfdfdgd8bbwe/file.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'NvStray' = '%ProgramFiles%\WindowsApps\Microsoft.x64__8wekyb3gfdfdgd8bbwe / file.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windowsdefender
<SYSTEM32>\tasks\securityhealthsystray
<SYSTEM32>\tasks\wmiprvse

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\systemfiles\config.json

Другое

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "SecurityHealthSystray" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC HOURLY /TN "WmiPrvSE" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "SettingSysHost\SettingSysHostService_bk7683" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "MicrosoftUpdateServices\MicrosoftUpdateServicesService_bk7143" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "AntiMalwareSericeExecutable\AntiMalwareSericeExecutableService_bk8606" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC HOURLY /TN "SecurityHealthSystray" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "WindowsDefenderServices\WindowsDefenderServicesService_bk9786" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c chcp 1251 & %ALLUSERSPROFILE%\Dllhost\winlogson.exe -c config.json
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "NvStray" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "OneDriveService" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "MicrosoftEdgeUpd" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "dllhost" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "AntiMalwareServiceExecutable" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "WmiPrvSE" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /CREATE /SC HOURLY /TN "WindowsDefender" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC HOURLY /TN "WindowsDefender" /TR "<Полный путь к файлу>"
'%WINDIR%\syswow64\chcp.com' 1251