Trojan.MulDrop21.43687

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\install.cmd
%TEMP%\7zipsfx.000\webmvorbisencoder.dll
%TEMP%\7zipsfx.000\webmvorbisdecoder.dll
%TEMP%\7zipsfx.000\webmmux.dll
%TEMP%\7zipsfx.000\vp8encoder.dll
%TEMP%\7zipsfx.000\vp8decoder.dll
%TEMP%\7zipsfx.000\rwln.dll
%TEMP%\7zipsfx.000\ripcserver.dll
%TEMP%\7zipsfx.000\rutserv.exe
%TEMP%\7zipsfx.000\rfusclient.exe
%TEMP%\7zipsfx.000\turkish.lg
%TEMP%\7zipsfx.000\swedish.lg
%TEMP%\7zipsfx.000\spanish.lg
%TEMP%\7zipsfx.000\portuguese.lg
%TEMP%\7zipsfx.000\portuguese, brazilian.lg
%APPDATA%\rut-agent\66003\1d35dadb49\rfusclient.exe
%TEMP%\7zipsfx.000\polish.lg
%TEMP%\7zipsfx.000\korean.lg
%TEMP%\7zipsfx.000\japanese.lg
%TEMP%\7zipsfx.000\italian.lg
%TEMP%\7zipsfx.000\hebrew.lg
%TEMP%\7zipsfx.000\german.lg
%TEMP%\7zipsfx.000\french.lg
%TEMP%\7zipsfx.000\english.lg
%TEMP%\7zipsfx.000\dutch.lg
%TEMP%\7zipsfx.000\danish.lg
%TEMP%\7zipsfx.000\czech.lg
%TEMP%\7zipsfx.000\chinese traditional.lg
%TEMP%\7zipsfx.000\chinese simplified.lg
%TEMP%\7zipsfx.000\arabic.lg
%TEMP%\7zipsfx.000\eula.rtf
%TEMP%\7zipsfx.000\norwegian.lg
%APPDATA%\rut_settings\logs\rms_log_2023-02.html

Удаляет следующие файлы

%TEMP%\7zipsfx.000\rfusclient.exe

Перемещает следующие файлы

%TEMP%\7zipsfx.000\arabic.lg в %APPDATA%\rut-agent\66003\1d35dadb49\arabic.lg
%TEMP%\7zipsfx.000\webmmux.dll в %APPDATA%\rut-agent\66003\1d35dadb49\webmmux.dll
%TEMP%\7zipsfx.000\vp8encoder.dll в %APPDATA%\rut-agent\66003\1d35dadb49\vp8encoder.dll
%TEMP%\7zipsfx.000\vp8decoder.dll в %APPDATA%\rut-agent\66003\1d35dadb49\vp8decoder.dll
%TEMP%\7zipsfx.000\turkish.lg в %APPDATA%\rut-agent\66003\1d35dadb49\turkish.lg
%TEMP%\7zipsfx.000\swedish.lg в %APPDATA%\rut-agent\66003\1d35dadb49\swedish.lg
%TEMP%\7zipsfx.000\spanish.lg в %APPDATA%\rut-agent\66003\1d35dadb49\spanish.lg
%TEMP%\7zipsfx.000\rwln.dll в %APPDATA%\rut-agent\66003\1d35dadb49\rwln.dll
%TEMP%\7zipsfx.000\rutserv.exe в %APPDATA%\rut-agent\66003\1d35dadb49\rutserv.exe
%TEMP%\7zipsfx.000\ripcserver.dll в %APPDATA%\rut-agent\66003\1d35dadb49\ripcserver.dll
%TEMP%\7zipsfx.000\portuguese.lg в %APPDATA%\rut-agent\66003\1d35dadb49\portuguese.lg
%TEMP%\7zipsfx.000\portuguese, brazilian.lg в %APPDATA%\rut-agent\66003\1d35dadb49\portuguese, brazilian.lg
%TEMP%\7zipsfx.000\polish.lg в %APPDATA%\rut-agent\66003\1d35dadb49\polish.lg
%TEMP%\7zipsfx.000\norwegian.lg в %APPDATA%\rut-agent\66003\1d35dadb49\norwegian.lg
%TEMP%\7zipsfx.000\korean.lg в %APPDATA%\rut-agent\66003\1d35dadb49\korean.lg
%TEMP%\7zipsfx.000\japanese.lg в %APPDATA%\rut-agent\66003\1d35dadb49\japanese.lg
%TEMP%\7zipsfx.000\italian.lg в %APPDATA%\rut-agent\66003\1d35dadb49\italian.lg
%TEMP%\7zipsfx.000\install.cmd в %APPDATA%\rut-agent\66003\1d35dadb49\install.cmd
%TEMP%\7zipsfx.000\hebrew.lg в %APPDATA%\rut-agent\66003\1d35dadb49\hebrew.lg
%TEMP%\7zipsfx.000\german.lg в %APPDATA%\rut-agent\66003\1d35dadb49\german.lg
%TEMP%\7zipsfx.000\french.lg в %APPDATA%\rut-agent\66003\1d35dadb49\french.lg
%TEMP%\7zipsfx.000\eula.rtf в %APPDATA%\rut-agent\66003\1d35dadb49\eula.rtf
%TEMP%\7zipsfx.000\english.lg в %APPDATA%\rut-agent\66003\1d35dadb49\english.lg
%TEMP%\7zipsfx.000\dutch.lg в %APPDATA%\rut-agent\66003\1d35dadb49\dutch.lg
%TEMP%\7zipsfx.000\danish.lg в %APPDATA%\rut-agent\66003\1d35dadb49\danish.lg
%TEMP%\7zipsfx.000\czech.lg в %APPDATA%\rut-agent\66003\1d35dadb49\czech.lg
%TEMP%\7zipsfx.000\chinese traditional.lg в %APPDATA%\rut-agent\66003\1d35dadb49\chinese traditional.lg
%TEMP%\7zipsfx.000\chinese simplified.lg в %APPDATA%\rut-agent\66003\1d35dadb49\chinese simplified.lg
%TEMP%\7zipsfx.000\webmvorbisdecoder.dll в %APPDATA%\rut-agent\66003\1d35dadb49\webmvorbisdecoder.dll
%TEMP%\7zipsfx.000\webmvorbisencoder.dll в %APPDATA%\rut-agent\66003\1d35dadb49\webmvorbisencoder.dll

Сетевая активность

UDP

DNS ASK id.####teutilities.com

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\rfusclient.exe' -deploy
'%APPDATA%\rut-agent\66003\1d35dadb49\rfusclient.exe' -run_agent
'%APPDATA%\rut-agent\66003\1d35dadb49\rutserv.exe'
'%APPDATA%\rut-agent\66003\1d35dadb49\rutserv.exe' -second
'%APPDATA%\rut-agent\66003\1d35dadb49\rfusclient.exe' /tray /user
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\install.cmd" "' (со скрытым окном)

Запускает на исполнение