Trojan.MulDrop4.61035

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\Config\SignTool.exe' catdb oem51.cat
'<Текущая директория>\Config\SignTool.exe' catdb oem50.cat
'<Текущая директория>\Config\SignTool.exe' catdb oem52.cat
'<Текущая директория>\Config\xCertMgr.exe' -add xatiilhag.cer -s -r localMachine root
'<Текущая директория>\Config\SignTool.exe' catdb oem53.cat
'<Текущая директория>\Config\SignTool.exe' catdb /r oem50.cat
'<Текущая директория>\hstart.exe' /NOCONSOLE "main100.cmd"
'<Текущая директория>\Config\SignTool.exe' catdb /r oem51.cat
'<Текущая директория>\Config\SignTool.exe' catdb /r oem53.cat
'<Текущая директория>\Config\SignTool.exe' catdb /r oem52.cat

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /IM webcam.exe /F
'<SYSTEM32>\taskkill.exe' /IM netflix.exe /F
'<SYSTEM32>\attrib.exe' -h xatiilhag.cer
'<SYSTEM32>\msiexec.exe' /qb /x {22441735-5983-AD2A-5CC5-FA2CCD7EF732} /qn
'<SYSTEM32>\taskkill.exe' /IM mom.exe /F
'<SYSTEM32>\taskkill.exe' /IM ccc.exe /F
'<SYSTEM32>\attrib.exe' -h Signtool.exe
'<SYSTEM32>\attrib.exe' -h hstart.exe
'<SYSTEM32>\attrib.exe' -h main100.cmd
'<SYSTEM32>\attrib.exe' -h xatiilhag1.cer
'<SYSTEM32>\attrib.exe' -h xatiilhag2.cer
'<SYSTEM32>\attrib.exe' -h xCertMgr.exe
'<SYSTEM32>\attrib.exe' +h oem50.cat
'<SYSTEM32>\attrib.exe' -h oem51.cat
'<SYSTEM32>\attrib.exe' +h oem51.cat
'<SYSTEM32>\cmd.exe' /c main100.cmd
'<SYSTEM32>\setup.exe'
'<SYSTEM32>\attrib.exe' -h oem50.cat
'<SYSTEM32>\attrib.exe' +h oem53.cat
'<SYSTEM32>\msiexec.exe' /qb /x {0FC717D1-25FB-4015-908C-2E9E2124D0FE} /qn
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\attrib.exe' -h oem52.cat
'<SYSTEM32>\attrib.exe' +h oem52.cat
'<SYSTEM32>\attrib.exe' -h oem53.cat

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\CatRoot\TMP11.tmp
<SYSTEM32>\CatRoot\TMP10.tmp
<SYSTEM32>\CatRoot\TMP12.tmp
<SYSTEM32>\CatRoot\TMP14.tmp
<SYSTEM32>\CatRoot\TMP13.tmp
<SYSTEM32>\CatRoot\TMPC.tmp
<SYSTEM32>\CatRoot\TMPB.tmp
<SYSTEM32>\CatRoot\TMPD.tmp
<SYSTEM32>\CatRoot\TMPF.tmp
<SYSTEM32>\CatRoot\TMPE.tmp
<SYSTEM32>\CatRoot\TMP1B.tmp
<SYSTEM32>\CatRoot\TMP1A.tmp
<SYSTEM32>\CatRoot\TMP1C.tmp
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem53.cat
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem52.cat
<SYSTEM32>\CatRoot\TMP16.tmp
<SYSTEM32>\CatRoot\TMP15.tmp
<SYSTEM32>\CatRoot\TMP17.tmp
<SYSTEM32>\CatRoot\TMP19.tmp
<SYSTEM32>\CatRoot\TMP18.tmp
<SYSTEM32>\CatRoot\TMPA.tmp
<Текущая директория>\Config\oem51.cat
<Текущая директория>\Config\oem50.cat
<Текущая директория>\Config\oem52.cat
<Текущая директория>\Config\oem53.cat
<Текущая директория>\Config\SignTool.exe
<Текущая директория>\main100.cmd
<Текущая директория>\hstart.exe
<Текущая директория>\Config\desktop.ini
<Текущая директория>\Config\xCertMgr.exe
<Текущая директория>\Config\xatiilhag.cer
<SYSTEM32>\CatRoot\TMP6.tmp
<SYSTEM32>\CatRoot\TMP5.tmp
<SYSTEM32>\CatRoot\TMP7.tmp
<SYSTEM32>\CatRoot\TMP9.tmp
<SYSTEM32>\CatRoot\TMP8.tmp
<SYSTEM32>\CatRoot\TMP1.tmp
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem50.cat
<SYSTEM32>\CatRoot\TMP2.tmp
<SYSTEM32>\CatRoot\TMP4.tmp
<SYSTEM32>\CatRoot\TMP3.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

<Текущая директория>\Config\oem53.cat
<Текущая директория>\Config\SignTool.exe
<Текущая директория>\Config\oem52.cat
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem53.cat
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem52.cat
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem50.cat
<Текущая директория>\Config\oem51.cat
<Текущая директория>\Config\desktop.ini
<Текущая директория>\main100.cmd
<Текущая директория>\hstart.exe
<Текущая директория>\Config\oem50.cat
<Текущая директория>\Config\xCertMgr.exe
<Текущая директория>\Config\xatiilhag.cer

Удаляет следующие файлы:

<SYSTEM32>\CatRoot\TMP1A.tmp
<SYSTEM32>\CatRoot\TMP19.tmp
<SYSTEM32>\CatRoot\TMP1C.tmp
<SYSTEM32>\CatRoot\TMP1B.tmp
<SYSTEM32>\CatRoot\TMP18.tmp
<SYSTEM32>\CatRoot\TMP15.tmp
<SYSTEM32>\CatRoot\TMP14.tmp
<SYSTEM32>\CatRoot\TMP17.tmp
<SYSTEM32>\CatRoot\TMP16.tmp
<Текущая директория>\Config\SignTool.exe
<Текущая директория>\Config\xCertMgr.exe
<Текущая директория>\main100.cmd
<Текущая директория>\hstart.exe
<Текущая директория>\Config\xatiilhag.cer
<Текущая директория>\Config\oem51.cat
<Текущая директория>\Config\oem50.cat
<Текущая директория>\Config\oem53.cat
<Текущая директория>\Config\oem52.cat
<SYSTEM32>\CatRoot\TMP13.tmp
<SYSTEM32>\CatRoot\TMP7.tmp
<SYSTEM32>\CatRoot\TMP6.tmp
<SYSTEM32>\CatRoot\TMP9.tmp
<SYSTEM32>\CatRoot\TMP8.tmp
<SYSTEM32>\CatRoot\TMP5.tmp
<SYSTEM32>\CatRoot\TMP1.tmp
<SYSTEM32>\CatRoot\TMP2.tmp
<SYSTEM32>\CatRoot\TMP4.tmp
<SYSTEM32>\CatRoot\TMP3.tmp
<SYSTEM32>\CatRoot\TMP10.tmp
<SYSTEM32>\CatRoot\TMPF.tmp
<SYSTEM32>\CatRoot\TMP12.tmp
<SYSTEM32>\CatRoot\TMP11.tmp
<SYSTEM32>\CatRoot\TMPE.tmp
<SYSTEM32>\CatRoot\TMPB.tmp
<SYSTEM32>\CatRoot\TMPA.tmp
<SYSTEM32>\CatRoot\TMPD.tmp
<SYSTEM32>\CatRoot\TMPC.tmp

Перемещает следующие системные файлы:

<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00018.log
<SYSTEM32>\CatRoot2\edb0000D.log в <SYSTEM32>\CatRoot2\edbtmp.log

Перемещает следующие файлы:

<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003B.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00039.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00035.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00034.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00033.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00038.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00037.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00036.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00047.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00046.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00045.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0004A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00049.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00048.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00041.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00040.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003F.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00044.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00043.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00042.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00032.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00022.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00021.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00020.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00025.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00024.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00023.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001B.log
<SYSTEM32>\CatRoot2\edbtmp.log в <SYSTEM32>\CatRoot2\edb.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001F.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00031.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00030.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002F.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00028.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00027.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00026.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002B.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00029.log

Другое:

Ищет следующие окна:

ClassName: '(null)' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'EDIT' WindowName: '(null)'

Добавляет корневой сертификат

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней