Trojan.MulDrop25.424

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\csrssc
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\spoolsvs
<SYSTEM32>\tasks\spoolsv

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\adobe\arm\s\iexplore.exe
%HOMEPATH%\desktop\mxzovgak.log
%HOMEPATH%\desktop\euqymnkd.log
%HOMEPATH%\desktop\uayoyekz.log
%HOMEPATH%\desktop\lseyocfr.log
%HOMEPATH%\desktop\adrsxver.log
%HOMEPATH%\desktop\mowrdhou.log
%HOMEPATH%\desktop\ktbvzioy.log
%HOMEPATH%\desktop\azjlmaou.log
%HOMEPATH%\desktop\inhfsetf.log
%TEMP%\mr5azwskww
%HOMEPATH%\desktop\pwuazziq.log
%HOMEPATH%\desktop\exqplhsm.log
%HOMEPATH%\desktop\unnjujim.log
%HOMEPATH%\desktop\arpdavhx.log
%HOMEPATH%\desktop\hodddkcl.log
%HOMEPATH%\desktop\gytiavrp.log
%HOMEPATH%\desktop\vvfxmuml.log
%HOMEPATH%\desktop\didrtyrw.log
%HOMEPATH%\desktop\pyfkzoqh.log
%HOMEPATH%\desktop\swavcgyn.log
%HOMEPATH%\desktop\hkhptkkw.log
C:\kms\f3b6ecef712a24
%ALLUSERSPROFILE%\adobe\arm\s\9db6e019d4f04e
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\iexplore.exe
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\9db6e019d4f04e
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\csrss.exe
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\886983d96e3d3e
%WINDIR%\pchealth\errorrep\qheadles\csrss.exe
%WINDIR%\pchealth\errorrep\qheadles\886983d96e3d3e
C:\kms\spoolsv.exe
%TEMP%\z9ievbd70g
%HOMEPATH%\desktop\mbhvhcqh.log
%TEMP%\4kaqbrpvbu.bat
nul
%HOMEPATH%\desktop\rkxphntf.log
%HOMEPATH%\desktop\tixscqxm.log
%HOMEPATH%\desktop\kzecsore.log
%HOMEPATH%\desktop\aqkmilmw.log
%HOMEPATH%\desktop\aglsffra.log
%HOMEPATH%\desktop\idzriump.log
%HOMEPATH%\desktop\kvmfaxvp.log
%TEMP%\mb6aq3zx7x.bat

Удаляет следующие файлы

%TEMP%\z9ievbd70g
%TEMP%\mr5azwskww

Сетевая активность

Подключается к

'45.##.225.88':80

Другое

Создает и запускает на исполнение

'C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\iexplore.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\4KaQbrpvbu.bat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\Mb6Aq3ZX7x.bat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\89KjNYDQ1l.bat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\FlZ1LPsZoY.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 9 /tr "'%ALLUSERSPROFILE%\Adobe\ARM\S\iexplore.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\89KjNYDQ1l.bat"
'<SYSTEM32>\cmd.exe' /C "%TEMP%\Mb6Aq3ZX7x.bat"
'<SYSTEM32>\ping.exe' -n 10 localhost
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\cmd.exe' /C "%TEMP%\4KaQbrpvbu.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 5 /tr "'C:\kms\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'C:\kms\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 10 /tr "'C:\kms\spoolsv.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 13 /tr "'%WINDIR%\PCHEALTH\ERRORREP\QHEADLES\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%WINDIR%\PCHEALTH\ERRORREP\QHEADLES\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 10 /tr "'%WINDIR%\PCHEALTH\ERRORREP\QHEADLES\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 10 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 6 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 5 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 8 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 13 /tr "'%ALLUSERSPROFILE%\Adobe\ARM\S\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Adobe\ARM\S\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\FlZ1LPsZoY.bat"
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2