Trojan.MulDrop28.30514

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /im AdskLicensingAgent.exe /f
'<SYSTEM32>\taskkill.exe' /f /im AdAppMgrSvc.exe
'<SYSTEM32>\taskkill.exe' /f /im AutodeskDesktopApp.exe
'<SYSTEM32>\taskkill.exe' /f /im AdskIdentityManager.exe
'<SYSTEM32>\taskkill.exe' /f /im "Autodesk Access UI Host.exe"
'<SYSTEM32>\taskkill.exe' /f /im "AdskAccessCore.exe"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\adsk-nlm\nlm.mst
%TEMP%\adsk-nlm\unnamed.json
%TEMP%\adsk-nlm\delnowmic.ps1
%TEMP%\adsk-nlm\nlm11-19-4-1-ipv4-ipv6-win64.msi
%TEMP%\adsk-nlm\licenses.lic
%TEMP%\adsk-nlm\version_old.dll
%TEMP%\adsk-nlm\adskflex.exe
%TEMP%\adsk-nlm\version.dll
%CommonProgramFiles(x86)%\autodesk shared\adsklicensing\current\adsklicensingagent\version.dll

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\sc.exe' stop AdskLicensingService (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.1.0.7121\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "%ProgramFiles(x86)%\Autodesk\Autodesk Desktop App\removeAdAppMgr.exe" --mode unattended (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Autodesk\AdskIdentityManager\uninstall.exe" --mode unattended (со скрытым окном)
'<SYSTEM32>\sc.exe' config "Autodesk Access Service Host" start= demand (со скрытым окном)
'<SYSTEM32>\sc.exe' stop "Autodesk Access Service Host" (со скрытым окном)
'<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Autodesk Access" /f (со скрытым окном)
'<SYSTEM32>\sc.exe' start AdskLicensingService (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.#.1.5\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProgram... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.0.0.6529\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Single Sign On Component" call uninstall /nointeractive ) (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\11.1.0.5629\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\11.0.0.4854\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\10.#.1.66\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProgra... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\10.1.0.3194\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
'<SYSTEM32>\xcopy.exe' /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent"
'<SYSTEM32>\cmd.exe' /S /D /c" echo D "
'<SYSTEM32>\cmd.exe' /c echo D | xcopy /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\11.#.1.17\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProgra... (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' product where name="Autodesk Single Sign On Component" call uninstall /nointeractive
'<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\10.2.0.4231\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im "Autodesk Access UI Host.exe" (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im "AdskAccessCore.exe" (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im AdAppMgrSvc.exe (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im AutodeskDesktopApp.exe (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im AdskIdentityManager.exe (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /im AdskLicensingAgent.exe /f (со скрытым окном)