Trojan.MulDrop21.45379

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\SYSTEM\CurrentControlSet\Services\EasyAntiCheat] 'ImagePath' = '"%ProgramFiles(x86)%\EasyAntiCheat\EasyAntiCheat.exe"'
[<HKLM>\System\CurrentControlSet\Services\EABackgroundService] 'ImagePath' = '%ProgramFiles%\Electronic Arts\EA Desktop\EA Desktop\EABackgroundService.exe'

Создает следующие сервисы

'EABackgroundService' %ProgramFiles%\Electronic Arts\EA Desktop\EA Desktop\EABackgroundService.exe

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\net.exe' stop EABackgroundService

Изменения в файловой системе

Создает следующие файлы

%TEMP%\94df.tmp\94ef.tmp\94f0.bat

Другое

Ищет следующие окна

ClassName: 'RegEdit_RegEdit' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\94DF.tmp\94EF.tmp\94F0.bat <Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\94DF.tmp\94EF.tmp\94F0.bat <Полный путь к файлу>"
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "Description" /t REG_SZ /d "Provides integrated security and services for online multiplayer games." /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "ObjectName" /t REG_SZ /d "LocalSystem" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "WOW64" /t REG_DWORD /d "332" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "DisplayName" /t REG_SZ /d "EasyAntiCheat" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "ImagePath" /t REG_EXPAND_SZ /d "\"%ProgramFiles(x86)%\EasyAntiCheat\EasyAntiCheat.exe\"" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "ErrorControl" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "Start" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat" /v "Type" /t REG_DWORD /d "16" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Wow6432Node\Respawn\Apex" /v "Install Dir" /t REG_SZ /d "<Текущая директория>\\EA Games\Apex" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\WOW6432Node\Origin" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Wow6432Node\Respawn\Apex\InstallOptSelect" /ve /t REG_SZ /d "1" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Wow6432Node\Respawn\Apex" /v "Install Dir" /t REG_SZ /d "<Текущая директория>\\EA Games\Apex\\" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Wow6432Node\Respawn\Apex" /v "Product GUID" /t REG_SZ /d "{D7FBF176-382D-484E-863A-DFD1124A2A1C}" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Wow6432Node\Respawn\Apex" /v "Locale" /t REG_SZ /d "en_US" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Wow6432Node\Respawn\Apex" /v "DisplayName" /t REG_SZ /d "Apex Legends" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\Electronic Arts\EADM" /v "ClientPath" /t REG_SZ /d "%ProgramFiles%\Electronic Arts\EA Desktop\EA Desktop\EADesktop.exe" /f
'%WINDIR%\regedit.exe' /s _FONGCHA_\RegFile\EAArts.reg
'%WINDIR%\regedit.exe' /s _FONGCHA_\RegFile\ElectronicArts.reg
'%WINDIR%\regedit.exe' /s _FONGCHA_\RegFile\EABackgroundService.reg
'<SYSTEM32>\reg.exe' export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EABackgroundService "<Текущая директория>\\_FONGCHA_\RegFile\EABackgroundService.reg" /y
'<SYSTEM32>\reg.exe' export "HKLM\SOFTWARE\WOW6432Node\Electronic Arts" "<Текущая директория>\\_FONGCHA_\RegFile\EAArts.reg" /y
'<SYSTEM32>\reg.exe' export "HKEY_LOCAL_MACHINE\SOFTWARE\Electronic Arts" "<Текущая директория>\\_FONGCHA_\RegFile\ElectronicArts.reg" /y
'<SYSTEM32>\net1.exe' stop EABackgroundService
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EasyAntiCheat\Security" /v "Security" /t REG_BINARY /d "01001480a0000000ac000000140000003000000002001c000100000002801400ff010f00010100000000000100000...
'<SYSTEM32>\sc.exe' create EABackgroundService binPath= "%ProgramFiles%\Electronic Arts\EA Desktop\EA Desktop\EABackgroundService.exe" DisplayName= "EA app Background Service"