Trojan.MulDrop28.6268

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\hd_audio

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\caso.txt
%APPDATA%\unijr\kfxw.exe
%APPDATA%\unijr\kfe.exe
%APPDATA%\unijr\kafct.exe
%APPDATA%\unijr\kafcl.exe
%APPDATA%\unijr\fes
%APPDATA%\unijr\crypto.cipher.aes.pyd
%APPDATA%\unijr\caso.txt
%APPDATA%\unijr\bz2.pyd
%APPDATA%\hda\bush\_win32sysloader.pyd
%APPDATA%\hda\bush\_ssl.pyd
%APPDATA%\hda\bush\_socket.pyd
%APPDATA%\hda\bush\_hashlib.pyd
%APPDATA%\unijr\pil._imaging.pyd
%APPDATA%\hda\bush\_ctypes.pyd
%APPDATA%\hda\bush\wyd.dat
%APPDATA%\hda\bush\win32ui.pyd
%APPDATA%\hda\bush\win32pdh.pyd
%APPDATA%\hda\bush\win32gui.pyd
%APPDATA%\hda\bush\win32file.pyd
%APPDATA%\hda\bush\win32clipboard.pyd
%APPDATA%\hda\bush\win32api.pyd
%APPDATA%\hda\bush\was
%APPDATA%\hda\bush\w9xpopen.exe
%APPDATA%\hda\bush\_multiprocessing.pyd
%APPDATA%\hda\bush\kafcl.exe
%APPDATA%\unijr\pil._imagingft.pyd
%APPDATA%\unijr\_win32sysloader.pyd
%APPDATA%\unijr\_ssl.pyd
%APPDATA%\unijr\_socket.pyd
%APPDATA%\unijr\_multiprocessing.pyd
%APPDATA%\unijr\_hashlib.pyd
%APPDATA%\unijr\_ctypes.pyd
%APPDATA%\unijr\wyd.dat
%APPDATA%\unijr\win32ui.pyd
%APPDATA%\unijr\win32pdh.pyd
%APPDATA%\unijr\win32gui.pyd
%APPDATA%\unijr\win32file.pyd
%APPDATA%\hda\bush\vidcap.pyd
%APPDATA%\unijr\ksse.exe
%APPDATA%\unijr\was
%APPDATA%\unijr\w9xpopen.exe
%APPDATA%\unijr\vidcap.pyd
%APPDATA%\unijr\uje.exe
%APPDATA%\unijr\select.pyd
%APPDATA%\unijr\route.txt
%APPDATA%\unijr\ravbg.exe
%APPDATA%\unijr\pywintypes27.dll
%APPDATA%\unijr\pythoncom27.dll
%APPDATA%\unijr\python27.dll
%APPDATA%\unijr\pyhook._cpyhook.pyd
%APPDATA%\unijr\win32api.pyd
%APPDATA%\unijr\pyexpat.pyd
%APPDATA%\hda\bush\uje.exe
%APPDATA%\hda\bush\select.pyd
%APPDATA%\hda\bush\route.txt
%TEMP%\rarsfx0\fes
%TEMP%\rarsfx0\pil._imaging.pyd
%TEMP%\rarsfx0\crypto.cipher.aes.pyd
%TEMP%\rarsfx0\bz2.pyd
%TEMP%\rarsfx0\_win32sysloader.pyd
%TEMP%\rarsfx0\_ssl.pyd
%TEMP%\rarsfx0\_socket.pyd
%TEMP%\rarsfx0\_multiprocessing.pyd
%TEMP%\rarsfx0\_hashlib.pyd
%TEMP%\rarsfx0\_ctypes.pyd
%TEMP%\rarsfx0\wyd.dat
%APPDATA%\hda\bush\etsd
%TEMP%\rarsfx0\pyexpat.pyd
%TEMP%\rarsfx0\pywintypes27.dll
%TEMP%\rarsfx0\pythoncom27.dll
%TEMP%\rarsfx0\python27.dll
%TEMP%\rarsfx0\w9xpopen.exe
%TEMP%\rarsfx0\ravbg.exe
%TEMP%\rarsfx0\ksse.exe
%TEMP%\rarsfx0\kfxw.exe
%TEMP%\rarsfx0\kfe.exe
%TEMP%\rarsfx0\kafct.exe
%TEMP%\rarsfx0\kafcl.exe
%TEMP%\rarsfx0\route.txt
%TEMP%\rarsfx0\was
%APPDATA%\unijr\win32clipboard.pyd
%TEMP%\rarsfx0\pyhook._cpyhook.pyd
%TEMP%\rarsfx0\win32api.pyd
%TEMP%\rarsfx0\select.pyd
%APPDATA%\hda\bush\ravbg.exe
%APPDATA%\hda\bush\pywintypes27.dll
%APPDATA%\hda\bush\pythoncom27.dll
%APPDATA%\hda\bush\python27.dll
%APPDATA%\hda\bush\pyhook._cpyhook.pyd
%APPDATA%\hda\bush\pyexpat.pyd
%APPDATA%\hda\bush\pil._imagingft.pyd
%APPDATA%\hda\bush\pil._imaging.pyd
%APPDATA%\hda\bush\ksse.exe
%APPDATA%\hda\bush\kfxw.exe
%TEMP%\rarsfx0\vidcap.pyd
%APPDATA%\hda\bush\kfe.exe
%TEMP%\rarsfx0\pil._imagingft.pyd
%APPDATA%\hda\bush\fes
%APPDATA%\hda\bush\crypto.cipher.aes.pyd
%APPDATA%\hda\bush\caso.txt
%APPDATA%\hda\bush\bz2.pyd
%TEMP%\rarsfx0\uje.exe
%TEMP%\rarsfx0\win32ui.pyd
%TEMP%\rarsfx0\win32pdh.pyd
%TEMP%\rarsfx0\win32gui.pyd
%TEMP%\rarsfx0\win32file.pyd
%TEMP%\rarsfx0\win32clipboard.pyd
%APPDATA%\hda\bush\kafct.exe
%APPDATA%\hda\bseo

Сетевая активность

UDP

DNS ASK id##.gotdns.ch

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\ksse.exe'
'%APPDATA%\hda\bush\ravbg.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "HD_Audio" /F (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Delete /TN "HD_Audio" /F
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /create /ST 00:00:01 /SC MINUTE /MO 60 /TR "\"%APPDATA%\unijr\kfxw.exe"\" /TN HD_Audio (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /ST 00:00:01 /SC MINUTE /MO 60 /TR "\"%APPDATA%\unijr\kfxw.exe"\" /TN HD_Audio