Trojan.MulDrop24.58856

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Java' = '"<SYSTEM32>\WScript.exe" "%WINDIR%\javaw.vbs"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\$inst\2.tmp
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\2052\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\3082\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\thm.xml
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\logo.png
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1028\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1029\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1049\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1055\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1031\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1041\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1042\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1045\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1046\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1049\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1055\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\2052\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\3082\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1036\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1040\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1046\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1045\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1042\license.rtf
%TEMP%\digitallicense.exe
%TEMP%\newx.rar
%TEMP%\unrar.exe
%TEMP%\vc_redist.x64.exe
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%TEMP%\newx.exe
%WINDIR%\config.json
%WINDIR%\javaw.vbs
%TEMP%\$inst\temp_0.tmp
%WINDIR%\java.bat
%WINDIR%\winring0x64.sys
%WINDIR%\javaupdate.exe
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\wixstdba.dll
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1028\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1029\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1031\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1036\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1040\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1041\license.rtf
%WINDIR%\java.vbs
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\bootstrapperapplicationdata.xml
%TEMP%\dd_vcredist_amd64_20240130184511.log

Удаляет следующие файлы

%TEMP%\$inst\temp_0.tmp
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1046\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1049\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1049\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1055\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1055\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\2052\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\2052\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\3082\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\3082\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\bootstrapperapplicationdata.xml
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\logo.png
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\thm.xml
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\wixstdba.dll
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1046\license.rtf
%TEMP%\$inst\2.tmp
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1045\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1042\thm.wxl
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1028\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1028\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1029\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1029\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1031\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1031\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1036\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1036\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1040\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1040\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1041\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1041\thm.wxl
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1042\license.rtf
%TEMP%\{e46eca4f-393b-40df-9f49-076faf788d83}\.ba1\1045\license.rtf
%WINDIR%\java.vbs

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\unrar.exe' e newx.rar -pppp
'%TEMP%\newx.exe'
'%TEMP%\vc_redist.x64.exe' -q
'%TEMP%\vc_redist.x64.exe' -q -burn.unelevated BurnPipe.{C7F1E289-7615-4C47-9789-1AA96BD67700} {C10F168F-6469-4A49-A7ED-5DDF85E68E17} 656
'%WINDIR%\syswow64\wscript.exe' "%WINDIR%\java.vbs"
'%TEMP%\digitallicense.exe' /Q
'%TEMP%\unrar.exe' e newx.rar -pppp' (со скрытым окном)
'%TEMP%\newx.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\java.bat" "' (со скрытым окном)
'%TEMP%\digitallicense.exe' /Q' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\java.bat" "
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Java" /D "\"<SYSTEM32>\WScript.exe\" \"%WINDIR%\javaw.vbs\"" /F