Trojan.MulDrop24.5257

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq wireshark*" /IM * /F /T
'<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq fiddler*" /IM * /F /T
'<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq httpdebugger*" /IM * /F /T
'<SYSTEM32>\taskkill.exe' /IM HTTPDebuggerSvc.exe /F

Запускает большое число процессов

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

Сетевая активность

Подключается к

'localhost':49186
'localhost':49188
'ke##uth.win':443

TCP

Другие

'localhost':49186
'localhost':49188
'localhost':49189
'ke##uth.win':443

UDP

DNS ASK ke##uth.win

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq fiddler*" /IM * /F /T >nul 2>&1' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq wireshark*" /IM * /F /T >nul 2>&1' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq httpdebugger*" /IM * /F /T >nul 2>&1' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill /IM HTTPDebuggerSvc.exe /F >nul 2>&1' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc stop HTTPDebuggerPro >nul 2>&1' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c @RD /S /Q "C:\Users\%username%\AppData\Local\Microsoft\Windows\INetCache\IE" >nul 2>&1' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c del %WINDIR%\sajkdaja\defines.lua
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_hand.vsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_skytextured.fsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_skytextured.vsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_terrain.fsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_terrain.vsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_textured.fsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_textured.vsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_weather.fsh
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\taskauto\Zelker.jar
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_weather.vsh
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq wireshark*" /IM * /F /T >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq httpdebugger*" /IM * /F /T >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /IM HTTPDebuggerSvc.exe /F >nul 2>&1
'<SYSTEM32>\cmd.exe' /c sc stop HTTPDebuggerPro >nul 2>&1
'<SYSTEM32>\cmd.exe' /c @RD /S /Q "C:\Users\%username%\AppData\Local\Microsoft\Windows\INetCache\IE" >nul 2>&1
'<SYSTEM32>\cmd.exe' /c certutil -hashfile "<Полный путь к файлу>" MD5 | find /i /v "md5" | find /i /v "certutil"
'<SYSTEM32>\sc.exe' stop HTTPDebuggerPro
'<SYSTEM32>\certutil.exe' -hashfile "<Полный путь к файлу>" MD5
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_entities.vsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_hand.fsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_entities.fsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_basic.vsh
'<SYSTEM32>\cmd.exe' /c del C:\shaders\gbuffers_basic.fsh
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\sajkdaja\lua5.1-32.dll
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\sajkdaja\lua5.1-64.dll
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\sajkdaja\main.lua
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\sajkdaja\svchost.ct
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\sajkdaja\taskhost.exe
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\JnIServiceUpdater.exe
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\zelkerbyp.dll
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\zelkerc.dll
'<SYSTEM32>\find.exe' /i /v "md5"
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq fiddler*" /IM * /F /T >nul 2>&1
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\fvebps.exe
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\taskauto\BdeHdCfg.exe
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\taskauto\config.yml
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\tabwinres.dll
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\bfcvc.exe
'<SYSTEM32>\cmd.exe' /c del :\Windows\zelkerc.dll
'<SYSTEM32>\cmd.exe' /c del C:Windows\zelkerINJ.exe
'<SYSTEM32>\cmd.exe' /c del C:Windows\zelkerINJ1.exe
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\inservedasl.dll
'<SYSTEM32>\cmd.exe' /c cls
'<SYSTEM32>\cmd.exe' /c del %WINDIR%\ssadsadasdas.exe
'<SYSTEM32>\find.exe' /i /v "certutil"