Trojan.MulDrop28.55042

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\firefox.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\firefox.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\Default User\cmd.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-001B-0409-1000-0000000FF1CE}-C\sppsvc.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/nzspxtyd/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\explorer.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%APPDATA%\hyperServerBrowserhostmonitor\HyperPortContainerproviderinto.exe'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\hyperserverbrowserhostmonitor\hyperportcontainerproviderinto.exe
%HOMEPATH%\desktop\gxchecuq.log
%HOMEPATH%\desktop\fhcbhipm.log
%HOMEPATH%\desktop\olkrrbft.log
%HOMEPATH%\desktop\qptdotqn.log
nul
%TEMP%\t991kx7kkf.bat
%TEMP%\pslq3in59k
C:\users\default user\ebf1f9fa8afd6d
C:\users\default user\cmd.exe
C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\0a1fd5f707cd16
C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\sppsvc.exe
<Текущая директория>\0fc223bdacedc3
%HOMEPATH%\desktop\errgesfp.log
<Текущая директория>\firefox.exe
C:\kms\firefox.exe
C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\7a0fd90576e088
C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\explorer.exe
%APPDATA%\hyperserverbrowserhostmonitor\8f534d42dac2c3
%HOMEPATH%\desktop\stwuibnr.log
%HOMEPATH%\desktop\cnpfwjnu.log
%HOMEPATH%\desktop\kqxugddb.log
%HOMEPATH%\desktop\mbtvgvic.log
%HOMEPATH%\desktop\kufcrytz.log
%HOMEPATH%\desktop\hvfzwvps.log
%APPDATA%\hyperserverbrowserhostmonitor\rg30h.bat
%APPDATA%\hyperserverbrowserhostmonitor\c56nu8ofcvkcmjgnmfytaakiqvls2udmn0hsp5fskg55s.vbe
C:\kms\0fc223bdacedc3
%HOMEPATH%\desktop\wojruzpi.log

Удаляет следующие файлы

%TEMP%\pslq3in59k

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\hyperServerBrowserhostmonitor\c56Nu8OfCVKCMJGNMfYtAakIqVLS2UdMn0HSp5fsKG55s.vbe"
'%APPDATA%\hyperserverbrowserhostmonitor\hyperportcontainerproviderinto.exe'
'C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\sppsvc.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\hyperServerBrowserhostmonitor\rg30h.bat" " (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\T991kx7kkF.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\ping.exe' -n 10 localhost