Trojan.MulDrop27.17876

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\XTSLogical 2.22.66] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\XTSLogical 2.22.66] 'ImagePath' = '%ALLUSERSPROFILE%\XTSLogical 2.22.66\XTSLogical 2.22.66.exe'

Создает следующие сервисы

'XTSLogical 2.22.66' %ALLUSERSPROFILE%\XTSLogical 2.22.66\XTSLogical 2.22.66.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-onhj7.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\cd studio\unins000.dat
%LOCALAPPDATA%\cd studio\is-df1d3.tmp
%LOCALAPPDATA%\cd studio\is-ksod9.tmp
%LOCALAPPDATA%\cd studio\is-5908v.tmp
%LOCALAPPDATA%\cd studio\is-g725v.tmp
%LOCALAPPDATA%\cd studio\is-959vq.tmp
%LOCALAPPDATA%\cd studio\is-5je01.tmp
%LOCALAPPDATA%\cd studio\is-oe0sh.tmp
%LOCALAPPDATA%\cd studio\is-m2tn9.tmp
%LOCALAPPDATA%\cd studio\is-aotu9.tmp
%LOCALAPPDATA%\cd studio\is-rp2un.tmp
%LOCALAPPDATA%\cd studio\cdstudio32.exe
%LOCALAPPDATA%\cd studio\is-qr22f.tmp
%LOCALAPPDATA%\cd studio\is-0bruo.tmp
%LOCALAPPDATA%\cd studio\is-ulrqk.tmp
%LOCALAPPDATA%\cd studio\is-vpmb1.tmp
%LOCALAPPDATA%\cd studio\is-nlvbc.tmp
%LOCALAPPDATA%\cd studio\is-bi2rg.tmp
%LOCALAPPDATA%\cd studio\is-t4mov.tmp
%LOCALAPPDATA%\cd studio\is-q9lag.tmp
%TEMP%\is-e048l.tmp\_isetup\_iscrypt.dll
%TEMP%\is-e048l.tmp\_isetup\_shfoldr.dll
%TEMP%\is-e048l.tmp\_isetup\_setup64.tmp
%TEMP%\is-e048l.tmp\_isetup\_regdll.tmp
%LOCALAPPDATA%\cd studio\is-c5s2l.tmp
%ALLUSERSPROFILE%\xtslogical 2.22.66\xtslogical 2.22.66.exe

Перемещает следующие файлы

%LOCALAPPDATA%\cd studio\is-q9lag.tmp в %LOCALAPPDATA%\cd studio\unins000.exe
%LOCALAPPDATA%\cd studio\is-5908v.tmp в %LOCALAPPDATA%\cd studio\proportions.txt
%LOCALAPPDATA%\cd studio\is-g725v.tmp в %LOCALAPPDATA%\cd studio\openh264_license.txt
%LOCALAPPDATA%\cd studio\is-959vq.tmp в %LOCALAPPDATA%\cd studio\qtavwidgets1.dll
%LOCALAPPDATA%\cd studio\is-5je01.tmp в %LOCALAPPDATA%\cd studio\qt5xml.dll
%LOCALAPPDATA%\cd studio\is-oe0sh.tmp в %LOCALAPPDATA%\cd studio\qt5winextras.dll
%LOCALAPPDATA%\cd studio\is-m2tn9.tmp в %LOCALAPPDATA%\cd studio\qt5svg.dll
%LOCALAPPDATA%\cd studio\is-aotu9.tmp в %LOCALAPPDATA%\cd studio\qt5opengl.dll
%LOCALAPPDATA%\cd studio\is-ksod9.tmp в %LOCALAPPDATA%\cd studio\libeay32.dll
%LOCALAPPDATA%\cd studio\is-rp2un.tmp в %LOCALAPPDATA%\cd studio\openh264.dll
%LOCALAPPDATA%\cd studio\is-c5s2l.tmp в %LOCALAPPDATA%\cd studio\msvcp140_1.dll
%LOCALAPPDATA%\cd studio\is-0bruo.tmp в %LOCALAPPDATA%\cd studio\msvcp140.dll
%LOCALAPPDATA%\cd studio\is-ulrqk.tmp в %LOCALAPPDATA%\cd studio\msvcp120.dll
%LOCALAPPDATA%\cd studio\is-vpmb1.tmp в %LOCALAPPDATA%\cd studio\mousehelper.dll
%LOCALAPPDATA%\cd studio\is-nlvbc.tmp в %LOCALAPPDATA%\cd studio\libmp3lame.dll
%LOCALAPPDATA%\cd studio\is-bi2rg.tmp в %LOCALAPPDATA%\cd studio\libcurl.dll
%LOCALAPPDATA%\cd studio\is-t4mov.tmp в %LOCALAPPDATA%\cd studio\avdevice-58.dll
%LOCALAPPDATA%\cd studio\is-qr22f.tmp в %LOCALAPPDATA%\cd studio\msvcr120.dll
%LOCALAPPDATA%\cd studio\is-df1d3.tmp в %LOCALAPPDATA%\cd studio\cdstudio32.exe

Другое

Ищет следующие окна

ClassName: 'b2c3b5_Flash585FixClass_b2c3b5' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-onhj7.tmp\<Имя файла>.tmp' /SL5="$90258,4235327,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\cd studio\cdstudio32.exe' -i
'%LOCALAPPDATA%\cd studio\cdstudio32.exe' -s