Trojan.MulDrop24.4067

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im QwestTouchPointAgent.exe /im CenturyLinkTouchPointAgent.exe /im QwestInstaller.exe /im QwestInstallerApp.exe /im CenturyLinkInstaller.exe /im CenturyLinkInstallerApp.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\centurylinkinstallersetup.exe
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is9769.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\def9768.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isr9747.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\str9746.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isb9736.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\dot9725.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\cor9724.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\dif9723.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fon9722.tmp
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\set9702.tmp
%TEMP%\9607.tmp
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\0x0409.ini
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\setup.ini
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\setup.iss
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\setup.inx
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\setup.ini
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\setup.exe
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\md5sum.exe
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\license.rtf
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\layout.bin
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\issetup.dll
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\data1.hdr
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\data1.cab
%TEMP%\{f5c07cf1-91e1-4b85-9266-9928f67bfb2c}\disk1\0x0409.ini
%TEMP%\rarsfx0\config.ini
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is9779.tmp
%WINDIR%\centurylinkinstallersetup.log

Перемещает следующие файлы

%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\set9702.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\setup.inx
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fon9722.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\fontdata.ini
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\dif9723.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\difxdata.ini
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\cor9724.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\corecomp.ini
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\dot9725.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\dotnetinstaller.exe
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isb9736.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\str9746.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\stringtable_0x0409.ips
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isr9747.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\isrt.dll
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\def9768.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\default.pal
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is9769.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isuser_0x0409.dll
%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_is9779.tmp в %TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\{c96ff998-45bd-411e-9253-b7f2660fe280}\_isres_0x0409.dll

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\centurylinkinstallersetup.exe'
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{CFAFB02E-0F95-49CA-88EC-D419CE2E1A33}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{F495CFB9-E93F-4C9E-81C5-E9B6056C040C}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{F1966C59-6EDE-42B1-8342-D148ED89F67B}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{A452E5AF-6565-49E3-8ED4-326323936EBD}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{7617E894-9DE5-4428-AC47-067DF4A43389}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{7A3C42A9-77E9-4C06-9777-CE4AA4B7F046}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{D4606033-6EBC-4360-81F9-3A0AFB023532}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{3C2DD0C3-A186-422F-855A-56BF72EDD3D0}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{0C362086-CA70-4239-94E4-E16269D4085F}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{9370EC0C-5174-4F1B-B679-DFCF273C027F}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{FC9B07E2-5840-4689-AD5A-F8EB4477564F}
'%TEMP%\{a3095558-7dee-49f7-ad1c-e94a23694fd8}\isbew64.exe' {EFB7539B-24F3-46B6-AF6E-3B021B51EFEF}:{78EE6839-C2D5-4B1F-852F-C33DAE5BEB05}
'%WINDIR%\syswow64\taskkill.exe' /f /im QwestTouchPointAgent.exe /im CenturyLinkTouchPointAgent.exe /im QwestInstaller.exe /im QwestInstallerApp.exe /im CenturyLinkInstaller.exe /im CenturyLinkInstallerApp.exe' (со скрытым окном)