Trojan.MulDrop27.62900

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\API Structure Layer 7.8.66] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\API Structure Layer 7.8.66] 'ImagePath' = '%ALLUSERSPROFILE%\API Structure Layer 7.8.66\API Structure Layer 7.8.66.exe'

Создает следующие сервисы

'API Structure Layer 7.8.66' %ALLUSERSPROFILE%\API Structure Layer 7.8.66\API Structure Layer 7.8.66.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-o385p.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\cleopatra\unins000.dat
%LOCALAPPDATA%\cleopatra\is-f194c.tmp
%LOCALAPPDATA%\cleopatra\is-l8s30.tmp
%LOCALAPPDATA%\cleopatra\is-58pe5.tmp
%LOCALAPPDATA%\cleopatra\is-qnprl.tmp
%LOCALAPPDATA%\cleopatra\is-cvjdd.tmp
%LOCALAPPDATA%\cleopatra\is-djkb0.tmp
%LOCALAPPDATA%\cleopatra\is-pb40c.tmp
%LOCALAPPDATA%\cleopatra\is-7m3gm.tmp
%LOCALAPPDATA%\cleopatra\is-thj0j.tmp
%LOCALAPPDATA%\cleopatra\is-1dfuk.tmp
%LOCALAPPDATA%\cleopatra\cleopatra.exe
%LOCALAPPDATA%\cleopatra\is-hlt4s.tmp
%LOCALAPPDATA%\cleopatra\is-r60j8.tmp
%LOCALAPPDATA%\cleopatra\is-amv25.tmp
%LOCALAPPDATA%\cleopatra\is-8j030.tmp
%LOCALAPPDATA%\cleopatra\is-lt1gq.tmp
%LOCALAPPDATA%\cleopatra\is-p70ek.tmp
%LOCALAPPDATA%\cleopatra\is-b20tr.tmp
%LOCALAPPDATA%\cleopatra\is-mi4lu.tmp
%TEMP%\is-hdssd.tmp\_isetup\_iscrypt.dll
%TEMP%\is-hdssd.tmp\_isetup\_shfoldr.dll
%TEMP%\is-hdssd.tmp\_isetup\_setup64.tmp
%TEMP%\is-hdssd.tmp\_isetup\_regdll.tmp
%LOCALAPPDATA%\cleopatra\is-qmhj0.tmp
%ALLUSERSPROFILE%\api structure layer 7.8.66\api structure layer 7.8.66.exe

Перемещает следующие файлы

%LOCALAPPDATA%\cleopatra\is-mi4lu.tmp в %LOCALAPPDATA%\cleopatra\unins000.exe
%LOCALAPPDATA%\cleopatra\is-58pe5.tmp в %LOCALAPPDATA%\cleopatra\proportions.txt
%LOCALAPPDATA%\cleopatra\is-qnprl.tmp в %LOCALAPPDATA%\cleopatra\openh264_license.txt
%LOCALAPPDATA%\cleopatra\is-cvjdd.tmp в %LOCALAPPDATA%\cleopatra\qtavwidgets1.dll
%LOCALAPPDATA%\cleopatra\is-djkb0.tmp в %LOCALAPPDATA%\cleopatra\qt5xml.dll
%LOCALAPPDATA%\cleopatra\is-pb40c.tmp в %LOCALAPPDATA%\cleopatra\qt5winextras.dll
%LOCALAPPDATA%\cleopatra\is-7m3gm.tmp в %LOCALAPPDATA%\cleopatra\qt5svg.dll
%LOCALAPPDATA%\cleopatra\is-thj0j.tmp в %LOCALAPPDATA%\cleopatra\qt5opengl.dll
%LOCALAPPDATA%\cleopatra\is-l8s30.tmp в %LOCALAPPDATA%\cleopatra\libeay32.dll
%LOCALAPPDATA%\cleopatra\is-1dfuk.tmp в %LOCALAPPDATA%\cleopatra\openh264.dll
%LOCALAPPDATA%\cleopatra\is-qmhj0.tmp в %LOCALAPPDATA%\cleopatra\msvcp140_1.dll
%LOCALAPPDATA%\cleopatra\is-r60j8.tmp в %LOCALAPPDATA%\cleopatra\msvcp140.dll
%LOCALAPPDATA%\cleopatra\is-amv25.tmp в %LOCALAPPDATA%\cleopatra\msvcp120.dll
%LOCALAPPDATA%\cleopatra\is-8j030.tmp в %LOCALAPPDATA%\cleopatra\mousehelper.dll
%LOCALAPPDATA%\cleopatra\is-lt1gq.tmp в %LOCALAPPDATA%\cleopatra\libmp3lame.dll
%LOCALAPPDATA%\cleopatra\is-p70ek.tmp в %LOCALAPPDATA%\cleopatra\libcurl.dll
%LOCALAPPDATA%\cleopatra\is-b20tr.tmp в %LOCALAPPDATA%\cleopatra\avdevice-58.dll
%LOCALAPPDATA%\cleopatra\is-hlt4s.tmp в %LOCALAPPDATA%\cleopatra\msvcr120.dll
%LOCALAPPDATA%\cleopatra\is-f194c.tmp в %LOCALAPPDATA%\cleopatra\cleopatra.exe

Другое

Ищет следующие окна

ClassName: 'babb81_Flash781FixClass_babb81' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-o385p.tmp\<Имя файла>.tmp' /SL5="$50234,4951126,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\cleopatra\cleopatra.exe' -i
'%LOCALAPPDATA%\cleopatra\cleopatra.exe' -s