Trojan.MulDrop24.589

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\AdobeFlashPlayerUpdateSvc] 'ImagePath' = '%WINDIR%\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe'

Создает следующие сервисы

'AdobeFlashPlayerUpdateSvc' %WINDIR%\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\flash_plugin.exe
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_d4602615-9d50-4880-be41-678935e93eaa
%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe
%WINDIR%\syswow64\flashplayerapp.exe
%WINDIR%\syswow64\flashplayercplapp.cpl
%WINDIR%\syswow64\macromed\flash\flashplayerplugin_13_0_0_206.exe
%WINDIR%\syswow64\macromed\flash\flashplayer.xpt
%WINDIR%\syswow64\macromed\flash\plugin.vch
%WINDIR%\syswow64\macromed\flash\flashutil32_13_0_0_206_plugin.exe
%WINDIR%\syswow64\macromed\flash\flashinstall.log
%WINDIR%\syswow64\macromed\flash\npswf32_13_0_0_206.dll
<SYSTEM32>\macromed\flash\plugin.vch
<SYSTEM32>\macromed\flash\flashutil64_13_0_0_206_plugin.exe
<SYSTEM32>\macromed\flash\npswf64_13_0_0_206.dll
%TEMP%\{d151e80b-99b8-4180-8a13-caa8fe0387a6}\fpb.tmp
%TEMP%\{a026f1de-025f-4b03-bec8-9a27e1509688}\fpb.tmp
%TEMP%\{a5b415be-22a0-486d-9e57-be2c173f64b7}\installflashplayer.exe
%TEMP%\{1c9dc3bb-bef5-4386-8aa1-30c72b0449fe}\fpb.tmp
%TEMP%\{cfdead3c-a2fb-4c80-b62b-74cfcab818fd}\fpb.tmp
<SYSTEM32>\macromed\flash\flashinstall.log
%WINDIR%\syswow64\macromed\flash\mms.cfg

Удаляет следующие файлы

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\flash_plugin.exe' -install -force
'%TEMP%\{a5b415be-22a0-486d-9e57-be2c173f64b7}\installflashplayer.exe' -install -skipARPEntry -iv 1 -au 4294967295
'%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -install
'%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -setDisableAutoUpdate
'%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -deleteTask
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe -setDisableAutoUpdate' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe -deleteTask' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc stop AdobeFlashPlayerUpdateSvc' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete AdobeFlashPlayerUpdateSvc' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c del /f /q <SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe' (со скрытым окном)

Перезапускает анализируемый образец

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe -setDisableAutoUpdate
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe -deleteTask
'%WINDIR%\syswow64\cmd.exe' /c sc stop AdobeFlashPlayerUpdateSvc
'%WINDIR%\syswow64\sc.exe' stop AdobeFlashPlayerUpdateSvc
'%WINDIR%\syswow64\cmd.exe' /c sc delete AdobeFlashPlayerUpdateSvc
'%WINDIR%\syswow64\sc.exe' delete AdobeFlashPlayerUpdateSvc
'%WINDIR%\syswow64\cmd.exe' /c del /f /q <SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe