Trojan.MulDrop29.10696

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'datastorecyberfearcom' = '"%LOCALAPPDATA%\D1708A0A-683E-BE80-41AD-E3EC3C116A23\datastorecyberfearcom.exe" '
[HKLM\Software\Classes\exefile\shell\open\command] '' = '"%1" %*'
[HKCU\Software\Classes\exefile\shell\open\command] '' = '"%1" %*'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\7za.exe
%TEMP%\7zsfx000.cmd
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\global_options.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\session.tmp
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\xdel.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\gui40.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\gui35.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything64.dll
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything32.dll
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything2.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.ini.tmp
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\7za.exe
%TEMP%\7zipsfx.000\xdel.exe
%TEMP%\7zipsfx.000\gui40.exe
%TEMP%\7zipsfx.000\gui35.exe
%TEMP%\7zipsfx.000\enc_default_default_2024-08-23_22-53-04=datastore@cyberfear.com.exe
%TEMP%\7zipsfx.000\everything2.ini
%TEMP%\7zipsfx.000\everything.ini
%TEMP%\7zipsfx.000\everything64.dll
%TEMP%\7zipsfx.000\everything32.dll
%TEMP%\7zipsfx.000\everything.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\datastorecyberfearcom.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.db.tmp

Удаляет следующие файлы

%TEMP%\7zipsfx.000\7za.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything32.dll
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\global_options.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything2.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\xdel.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\gui40.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\gui35.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\datastorecyberfearcom.exe
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything64.dll
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\7za.exe
%TEMP%\7zipsfx.000\everything64.dll
%TEMP%\7zipsfx.000\everything32.dll
%TEMP%\7zipsfx.000\everything2.ini
%TEMP%\7zipsfx.000\everything.ini
%TEMP%\7zipsfx.000\xdel.exe
%TEMP%\7zipsfx.000\gui40.exe
%TEMP%\7zipsfx.000\gui35.exe
%TEMP%\7zipsfx.000\everything.exe
%TEMP%\7zipsfx.000\enc_default_default_2024-08-23_22-53-04=datastore@cyberfear.com.exe
%TEMP%\7zsfx000.cmd
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.db

Перемещает следующие файлы

%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.ini.tmp в %LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.ini
%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.db.tmp в %LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.db

Самоудаляется.

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\7za.exe' i
'%TEMP%\7zipsfx.000\7za.exe' x -y -p1080221178924513428 Everything64.dll
'%TEMP%\7zipsfx.000\enc_default_default_2024-08-23_22-53-04=datastore@cyberfear.com.exe'
'%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\datastorecyberfearcom.exe'
'%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.exe' -startup
'%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\gui40.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" " (со скрытым окном)
'%WINDIR%\syswow64\wevtutil.exe' cl security (со скрытым окном)
'%WINDIR%\syswow64\wevtutil.exe' cl application (со скрытым окном)
'%WINDIR%\syswow64\wevtutil.exe' cl system (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /d /c "ping 127.2 -n 5 & fsutil file setZeroData offset=0 length=20000000 "%LOCALAPPDATA%\D1708A0A-683E-BE80-41AD-E3EC3C116A23\datastorecyberfearcom.exe" & cd /d "%LOCALAPPDATA%\D1708A0A-683E-B... (со скрытым окном)
'%WINDIR%\syswow64\ping.exe' 127.2 -n 5
'%WINDIR%\syswow64\fsutil.exe' file setZeroData offset=0 length=20000000 "%LOCALAPPDATA%\D1708A0A-683E-BE80-41AD-E3EC3C116A23\datastorecyberfearcom.exe"
'%TEMP%\7zipsfx.000\7za.exe' i (со скрытым окном)
'%TEMP%\7zipsfx.000\7za.exe' x -y -p1080221178924513428 Everything64.dll (со скрытым окном)
'%TEMP%\7zipsfx.000\enc_default_default_2024-08-23_22-53-04=datastore@cyberfear.com.exe' (со скрытым окном)
'%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\datastorecyberfearcom.exe' (со скрытым окном)
'%LOCALAPPDATA%\d1708a0a-683e-be80-41ad-e3ec3c116a23\everything.exe' -startup (со скрытым окном)