Trojan.MulDrop32.18095

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '26932' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7150' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13576' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '25998' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17970' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '23636' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '11585' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '9059' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '29508' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '6452' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '559' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '3352' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13145' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '5610' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '4871' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20167' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20515' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '29816' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '21522' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '4460' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '11461' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '12118' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '395' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20536' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '5117' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20721' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '5630' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '30288' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '2058' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7971' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '23103' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '28708' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8607' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '4583' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '31294' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '6000' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8649' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '23205' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '2202' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '11564' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20947' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '6924' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '10230' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '66' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13474' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '22918' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '272' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '32157' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13186' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '25854' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '24971' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '15219' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '25156' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8915' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '22979' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '11256' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '18668' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '27373' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '26901' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '30124' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17580' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '18586' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '26080' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17477' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '19612' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '28749' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7478' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '2263' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '21727' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '30638' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17190' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '21049' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '18935' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '4665' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '10271' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '6021' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '26223' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '28461' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17641' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '32116' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13556' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17025' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '18770' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20762' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8361' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '23903' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '5528' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8813' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '3577' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '28236' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '20207' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '26203' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8238' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '31746' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8690' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '32506' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '5589' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '15383' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7848' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7109' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '22405' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '22753' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '28995' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '23760' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '6698' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13699' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '17416' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '5692' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '25833' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7355' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '26018' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '10927' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '2818' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13268' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '1791' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '4111' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '1237' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13905' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '12939' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '3824' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '14356' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '13946' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '32691' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '7745' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8423' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '10558' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '32362' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '11441' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '14746' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '18771' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '31274' = '<Полный путь к файлу>'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8628' = '<Полный путь к файлу>'

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Запускает большое число процессов

Изменения в файловой системе

Создает следующие файлы

C:\lsass.exe

Сетевая активность

Подключается к

'12#.#20.86.174':3128
'21#.#33.170.245':3128
'76.##5.84.149':3128
'62.##.126.114':3128
'12#.#7.84.134':3128
'20#.#3.137.19':3128
'81.##.243.25':3128
'41.##4.158.76':3128
'70.##.90.171':3128
'24.##5.13.198':3128
'89.##2.75.116':3128
'71.#0.83.37':3128
'19#.#3.175.197':3128
'10#.#08.121.24':3128
'83.##9.146.58':3128
'89.##.244.228':3128
'79.##9.176.17':3128
'67.##.252.140':3128
'24.#.229.177':3128
'78.##.185.170':31
'83.#65.9.7':3128
'24.#.194.158':3128
'94.##4.183.33':3128
'72.##4.185.240':3128
'20#.#7.25.72':3128
'75.#38.79.2':3128
'41.##6.12.78':3128
'99.##4.242.27':3128
'18#.#8.239.108':3128
'87.#.89.107':3128
'99.##5.37.127':3128
'41.##7.18.27':3128
'82.##2.103.247':3128
'76.##7.155.138':3128
'11#.#4.56.147':3128
'85.##1.119.167':3128
'79.##9.179.201':3128
'21#.#2.242.130':3128
'20#.#4.35.33':3128
'19#.#06.208.220':3128
'19#.#01.161.20':3128
'70.##.38.112':3128
'20#.#32.222.204':3128
'84.##0.23.124':3128
'89.##5.44.119':3128
'21#.#28.216.119':3128
'19#.#2.2.238':3128
'71.##2.224.113':3128
'87.#.77.246':3128
'12#.#83.227.100':3128
'77.##.173.135':3128
'67.##.185.176':3128
'94.##9.169.1':3128
'76.##7.111.234':3128
'62.##0.172.231':3128
'74.##2.34.129':3128
'17#.#.125.145':3128
'19#.#11.26.219':3128
'75.##9.170.144':3128
'78.##.185.170':3128
'61.##.240.63':3128
'65.#4.68.90':3128
'85.##5.215.89':3128
'10#.#82.90.75':3128
'94.##.202.43':3128
'78.#3.8.115':3128
'17#.#9.246.48':3128
'12#.#43.138.169':3128
'19#.#13.102.206':3128
'24.#.182.88':3128
'41.##9.42.39':3128
'2.##.224.157':3128
'68.##3.29.66':3128
'69.##.204.14':3128
'85.#1.153.1':3128
'17#.#3.152.252':3128
'21#.#6.112.137':3128
'62.##9.238.173':3128
'41.##9.38.21':3128
'17#.#51.154.211':3128
'11#.#7.87.180':3128
'18#.#27.73.224':3128
'85.##.213.26':3128
'21#.#25.194.112':3128
'85.##8.175.55':3128
'89.##4.169.235':3128
'10#.#09.154.149':3128
'17#.#51.81.7':3128
'70.##.78.138':3128
'19#.#17.221.150':3128
'19#.#35.168.9':3128
'80.##.128.112':3128
'87.#.1.89':3128
'18#.71.61.7':3128
'75.##3.32.225':3128
'71.#0.86.76':3128
'74.#4.43.82':3128
'66.##4.255.203':3128
'84.##0.23.111':3128
'68.##.133.85':3128
'85.##.193.149':3128
'24.#.182.90':3128
'92.##.174.229':3128
'24.##1.66.108':3128
'85.##.185.143':3128
'21#.#50.232.253':3128
'10#.#09.244.88':3128
'18#.#5.252.118':3128
'41.##0.10.243':3128
'84.##2.151.196':3128
'69.##4.99.56':3128
'81.##.38.194':3128
'84.##9.141.3':3128
'78.##.24.108':3128
'98.##3.41.173':3128
'17#.#36.144.178':3128
'89.##3.151.75':3128
'17#.#.86.104':3128
'84.##9.251.126':3128
'89.##4.127.222':3128
'94.##4.156.47':3128
'12#.#46.247.177':3128
'60.##.77.133':3128
'18#.#5.41.194':3128
'82.##.14.108':3128
'10#.#82.75.103':3128
'19#.#01.90.89':3128
'18#.#94.205.29':3128
'71.##.91.112':3128
'18#.#9.64.79':3128
'85.##4.234.100':3128
'89.##2.56.121':3128
'78.##.46.158':3128
'17#.#37.216.73':3128
'20#.#3.142.46':3128
'76.##9.47.171':3128
'21#.#86.168.164':3128
'21#.#25.199.186':3128
'20#.#68.86.168':3128
'88.##6.79.53':3128
'20#.#3.133.174':3128
'17#.#6.15.69':3128
'77.##9.116.126':3128
'77.##6.112.114':3128
'85.##8.150.200':3128
'18#.#60.110.101':3128
'17#.#37.25.34':3128
'41.##9.43.208':3128
'95.##6.155.254':3128
'12#.#20.209.108':3128
'19#.#17.202.60':3128
'17#.#37.148.62':3128
'70.##8.43.79':3128
'19#.#.10.166':3128
'72.##.200.153':3128
'11#.#9.9.153':3128
'62.##0.172.231':6667
'70.##3.174.160':6667
'11#.#4.56.147':6667
'88.##6.79.53':6667

Другое

Создает и запускает на исполнение

'C:\lsass.exe' exe <Полный путь к файлу>

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней