Trojan.MulDrop27.65341

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\BGEES quest 7.25.66] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\BGEES quest 7.25.66] 'ImagePath' = '%ALLUSERSPROFILE%\BGEES quest 7.25.66\BGEES quest 7.25.66.exe'

Создает следующие сервисы

'BGEES quest 7.25.66' %ALLUSERSPROFILE%\BGEES quest 7.25.66\BGEES quest 7.25.66.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-h43a8.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\rsa recording system\unins000.dat
%LOCALAPPDATA%\rsa recording system\is-3bi3n.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-lfn4n.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-p429o.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-hb8pq.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-habtf.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-gpgdl.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-573mh.tmp
%LOCALAPPDATA%\rsa recording system\visio\is-0urhp.tmp
%LOCALAPPDATA%\rsa recording system\is-l3cus.tmp
%LOCALAPPDATA%\rsa recording system\is-kbiku.tmp
%LOCALAPPDATA%\rsa recording system\is-608cj.tmp
%LOCALAPPDATA%\rsa recording system\is-c9ll6.tmp
%LOCALAPPDATA%\rsa recording system\is-rajc5.tmp
%LOCALAPPDATA%\rsa recording system\is-d0f1p.tmp
%LOCALAPPDATA%\rsa recording system\is-egbq5.tmp
%TEMP%\is-s21d9.tmp\_isetup\_iscrypt.dll
%TEMP%\is-s21d9.tmp\_isetup\_isdecmp.dll
%TEMP%\is-s21d9.tmp\_isetup\_shfoldr.dll
%TEMP%\is-s21d9.tmp\_isetup\_setup64.tmp
%TEMP%\is-s21d9.tmp\_isetup\_regdll.tmp
%LOCALAPPDATA%\rsa recording system\rsarecordingsystem32_64.exe
%ALLUSERSPROFILE%\bgees quest 7.25.66\bgees quest 7.25.66.exe

Перемещает следующие файлы

%LOCALAPPDATA%\rsa recording system\is-egbq5.tmp в %LOCALAPPDATA%\rsa recording system\unins000.exe
%LOCALAPPDATA%\rsa recording system\is-d0f1p.tmp в %LOCALAPPDATA%\rsa recording system\libeay32.dll
%LOCALAPPDATA%\rsa recording system\is-rajc5.tmp в %LOCALAPPDATA%\rsa recording system\ssleay32.dll
%LOCALAPPDATA%\rsa recording system\is-c9ll6.tmp в %LOCALAPPDATA%\rsa recording system\libssl-1_1.dll
%LOCALAPPDATA%\rsa recording system\is-608cj.tmp в %LOCALAPPDATA%\rsa recording system\whatsnew.txt
%LOCALAPPDATA%\rsa recording system\is-kbiku.tmp в %LOCALAPPDATA%\rsa recording system\license.txt
%LOCALAPPDATA%\rsa recording system\is-l3cus.tmp в %LOCALAPPDATA%\rsa recording system\file_id.diz
%LOCALAPPDATA%\rsa recording system\visio\is-0urhp.tmp в %LOCALAPPDATA%\rsa recording system\visio\areas.vss
%LOCALAPPDATA%\rsa recording system\visio\is-573mh.tmp в %LOCALAPPDATA%\rsa recording system\visio\areas.vssx
%LOCALAPPDATA%\rsa recording system\visio\is-gpgdl.tmp в %LOCALAPPDATA%\rsa recording system\visio\devices.vssx
%LOCALAPPDATA%\rsa recording system\visio\is-habtf.tmp в %LOCALAPPDATA%\rsa recording system\visio\lines.vss
%LOCALAPPDATA%\rsa recording system\visio\is-hb8pq.tmp в %LOCALAPPDATA%\rsa recording system\visio\lines.vssx
%LOCALAPPDATA%\rsa recording system\visio\is-p429o.tmp в %LOCALAPPDATA%\rsa recording system\visio\netdiagram.vst
%LOCALAPPDATA%\rsa recording system\visio\is-lfn4n.tmp в %LOCALAPPDATA%\rsa recording system\visio\netdiagram.vstx
%LOCALAPPDATA%\rsa recording system\is-3bi3n.tmp в %LOCALAPPDATA%\rsa recording system\rsarecordingsystem32_64.exe

Другое

Ищет следующие окна

ClassName: 'D180dd_Flash7253FixClass_D180dd' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-h43a8.tmp\<Имя файла>.tmp' /SL5="$60234,4311274,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\rsa recording system\rsarecordingsystem32_64.exe' -i
'%LOCALAPPDATA%\rsa recording system\rsarecordingsystem32_64.exe' -s