Trojan.MulDrop24.58910

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\DeliveryStatusFields_65] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\DeliveryStatusFields_65] 'ImagePath' = '%ALLUSERSPROFILE%\DeliveryStatusFields_65\DeliveryStatusFields_65.exe'

Создает следующие сервисы

'DeliveryStatusFields_65' %ALLUSERSPROFILE%\DeliveryStatusFields_65\DeliveryStatusFields_65.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-508q8.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\deliverystatusfields\unins000.dat
%LOCALAPPDATA%\deliverystatusfields\is-v6fd1.tmp
%LOCALAPPDATA%\deliverystatusfields\languages\is-f7j6p.tmp
%LOCALAPPDATA%\deliverystatusfields\is-b0g6c.tmp
%LOCALAPPDATA%\deliverystatusfields\is-i9q1b.tmp
%LOCALAPPDATA%\deliverystatusfields\is-cs99j.tmp
%LOCALAPPDATA%\deliverystatusfields\is-6fdd3.tmp
%LOCALAPPDATA%\deliverystatusfields\is-jpglr.tmp
%LOCALAPPDATA%\deliverystatusfields\is-iant1.tmp
%LOCALAPPDATA%\deliverystatusfields\is-f3c8h.tmp
%LOCALAPPDATA%\deliverystatusfields\is-f9otf.tmp
%LOCALAPPDATA%\deliverystatusfields\is-7tnna.tmp
%LOCALAPPDATA%\deliverystatusfields\is-38c5u.tmp
%LOCALAPPDATA%\deliverystatusfields\is-kjiq3.tmp
%LOCALAPPDATA%\deliverystatusfields\is-p5vr6.tmp
%LOCALAPPDATA%\deliverystatusfields\is-m9c52.tmp
%LOCALAPPDATA%\deliverystatusfields\is-1ot19.tmp
%LOCALAPPDATA%\deliverystatusfields\is-nusii.tmp
%LOCALAPPDATA%\deliverystatusfields\is-pe6tf.tmp
%TEMP%\is-gt6ta.tmp\_isetup\_iscrypt.dll
%TEMP%\is-gt6ta.tmp\_isetup\_shfoldr.dll
%TEMP%\is-gt6ta.tmp\_isetup\_setup64.tmp
%TEMP%\is-gt6ta.tmp\_isetup\_regdll.tmp
%LOCALAPPDATA%\deliverystatusfields\deliverystatusfields.exe
%ALLUSERSPROFILE%\deliverystatusfields_65\deliverystatusfields_65.exe

Удаляет следующие файлы

%LOCALAPPDATA%\deliverystatusfields\libgcc_s_dw2-1.dll

Перемещает следующие файлы

%LOCALAPPDATA%\deliverystatusfields\is-pe6tf.tmp в %LOCALAPPDATA%\deliverystatusfields\unins000.exe
%LOCALAPPDATA%\deliverystatusfields\is-b0g6c.tmp в %LOCALAPPDATA%\deliverystatusfields\setting.ini
%LOCALAPPDATA%\deliverystatusfields\is-i9q1b.tmp в %LOCALAPPDATA%\deliverystatusfields\sdl2.dll
%LOCALAPPDATA%\deliverystatusfields\is-cs99j.tmp в %LOCALAPPDATA%\deliverystatusfields\swresample-3.dll
%LOCALAPPDATA%\deliverystatusfields\is-6fdd3.tmp в %LOCALAPPDATA%\deliverystatusfields\zlib1.dll
%LOCALAPPDATA%\deliverystatusfields\is-jpglr.tmp в %LOCALAPPDATA%\deliverystatusfields\libbz2-1.dll
%LOCALAPPDATA%\deliverystatusfields\is-iant1.tmp в %LOCALAPPDATA%\deliverystatusfields\libwinpthread-1.dll
%LOCALAPPDATA%\deliverystatusfields\languages\is-f7j6p.tmp в %LOCALAPPDATA%\deliverystatusfields\languages\turkish.ini
%LOCALAPPDATA%\deliverystatusfields\is-f3c8h.tmp в %LOCALAPPDATA%\deliverystatusfields\libvorbisenc-2.dll
%LOCALAPPDATA%\deliverystatusfields\is-7tnna.tmp в %LOCALAPPDATA%\deliverystatusfields\libogg-0.dll
%LOCALAPPDATA%\deliverystatusfields\is-38c5u.tmp в %LOCALAPPDATA%\deliverystatusfields\libiconv-2.dll
%LOCALAPPDATA%\deliverystatusfields\is-p5vr6.tmp в %LOCALAPPDATA%\deliverystatusfields\avutil-56.dll
%LOCALAPPDATA%\deliverystatusfields\is-m9c52.tmp в %LOCALAPPDATA%\deliverystatusfields\libgcc_s_dw2-1.dll
%LOCALAPPDATA%\deliverystatusfields\is-1ot19.tmp в %LOCALAPPDATA%\deliverystatusfields\avformat-58.dll
%LOCALAPPDATA%\deliverystatusfields\is-nusii.tmp в %LOCALAPPDATA%\deliverystatusfields\avcodec-58.dll
%LOCALAPPDATA%\deliverystatusfields\is-f9otf.tmp в %LOCALAPPDATA%\deliverystatusfields\libvorbis-0.dll
%LOCALAPPDATA%\deliverystatusfields\is-v6fd1.tmp в %LOCALAPPDATA%\deliverystatusfields\deliverystatusfields.exe

Подменяет следующие файлы

%LOCALAPPDATA%\deliverystatusfields\libgcc_s_dw2-1.dll

Другое

Ищет следующие окна

ClassName: '' WindowName: 'T7cf2d_DSF1302FlashFixClass_T7cf2d'

Создает и запускает на исполнение

'%TEMP%\is-508q8.tmp\<Имя файла>.tmp' /SL5="$A024C,6310086,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\deliverystatusfields\deliverystatusfields.exe' -i
'%LOCALAPPDATA%\deliverystatusfields\deliverystatusfields.exe' -s