Trojan.MulDrop28.24524

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\NGEN38630_32] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\NGEN38630_32] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\DisplaySwitch.exe'

Создает следующие сервисы

'NGEN38630_32' %ALLUSERSPROFILE%\Microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\DisplaySwitch.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\displayswitch.exe
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\winrmc.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\winrmf.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\slmgrl.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\winrmd.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\winrmy.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\slmgrn.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\stdole2v.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\qagents.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\rendezvoussessiong.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\rendezvoussessiont.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\msdatsrcv.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\msdatsrca.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\msscriptk.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\dmviewc.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\inetcply.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\telephonl.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\firewallw.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\mmsysg.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\wsmanconfig_schemaa.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\locationnotificationsvieww.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\locationnotificationsviewd.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\ndfeventviewl.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\ndfeventviewb.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\msdatsrcg.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\kbdfan.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\kbdarmec.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\accessibilitycpln.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\napdsnapl.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\rcx92ee.tmp
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\rcx92dd.tmp
%TEMP%\tmp92dc.tmp
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\hhctrla.ocx
nul

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\displayswitch.exe

Перемещает следующие файлы

%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\rcx92dd.tmp в %ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\displayswitch.exe
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\rcx92ee.tmp в %ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\displayswitch.exe

Самоудаляется.

Сетевая активность

Подключается к

'61.##.140.152':10204
'61.##.208.123':10204
'62.##2.163.50':10204

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__1133f62a58dcfd54\displayswitch.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /d /c ping -n 2 127.0.0.1 > NUL & fsutil file setzerodata offset=0 length=524288 "<Полный путь к файлу>" & del "<Полный путь к файлу>" > NUL & exit (со скрытым окном)
'%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
'%WINDIR%\syswow64\fsutil.exe' file setzerodata offset=0 length=524288 "<Полный путь к файлу>"