Trojan.MulDrop34.13862

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\  ‍.scr'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei44842\vcruntime140.dll
%TEMP%\_mei44842\vcruntime140_1.dll
%TEMP%\_mei44842\_asyncio.pyd
%TEMP%\_mei44842\_bz2.pyd
%TEMP%\_mei44842\_ctypes.pyd
%TEMP%\_mei44842\_decimal.pyd
%TEMP%\_mei44842\_hashlib.pyd
%TEMP%\_mei44842\_lzma.pyd
%TEMP%\_mei44842\_multiprocessing.pyd
%TEMP%\_mei44842\_overlapped.pyd
%TEMP%\_mei44842\_queue.pyd
%TEMP%\_mei44842\_socket.pyd
%TEMP%\_mei44842\_sqlite3.pyd
%TEMP%\_mei44842\_ssl.pyd
%TEMP%\_mei44842\_wmi.pyd
%TEMP%\_mei44842\base_library.zip
%TEMP%\_mei44842\blank.aes
%TEMP%\_mei44842\libcrypto-3.dll
%TEMP%\_mei44842\libffi-8.dll
%TEMP%\_mei44842\libssl-3.dll
%TEMP%\_mei44842\pyexpat.pyd
%TEMP%\_mei44842\python313.dll
%TEMP%\_mei44842\rar.exe
%TEMP%\_mei44842\rarreg.key
%TEMP%\_mei44842\select.pyd
%TEMP%\_mei44842\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\installer
%TEMP%\_mei44842\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\license
%TEMP%\_mei44842\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\metadata
%TEMP%\_mei44842\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\record
%TEMP%\_mei44842\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\wheel
%TEMP%\_mei44842\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\top_level.txt
%TEMP%\_mei44842\setuptools\_vendor\jaraco\text\lorem ipsum.txt
%TEMP%\_mei44842\sqlite3.dll
%TEMP%\_mei44842\unicodedata.pyd
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\  ‍.scr

Присваивает атрибут 'скрытый' для следующих файлов

<Полный путь к файлу>

Сетевая активность

UDP

DNS ASK bl###-4cgxr.in
DNS ASK gs##tic.com

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess ... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "mshta "javascript:var sh=new ActiveXObject('WScript.Shell'); sh.Popup('Turn off Antivirus And Reopen The File', 0, 'Application Error!', 48+16);close()"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "tasklist /FO LIST" (со скрытым окном)
'<SYSTEM32>\mshta.exe' "javascript:var sh=new ActiveXObject('WScript.Shell'); sh.Popup('Turn off Antivirus And Reopen The File', 0, 'Application Error!', 48+16);close()"
'<SYSTEM32>\tasklist.exe' /FO LIST
'<SYSTEM32>\cmd.exe' /c "wmic csproduct get uuid" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
'<SYSTEM32>\cmd.exe' /c "REG QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\DriverDesc 2" (со скрытым окном)
'<SYSTEM32>\reg.exe' QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\DriverDesc 2
'<SYSTEM32>\cmd.exe' /c "REG QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\ProviderName 2" (со скрытым окном)
'<SYSTEM32>\reg.exe' QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\ProviderName 2
'<SYSTEM32>\cmd.exe' /c "wmic path win32_VideoController get name" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
'<SYSTEM32>\cmd.exe' /c "attrib +h +s "<Полный путь к файлу>"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\  ‍.scr'" (со скрытым окном)
'<SYSTEM32>\attrib.exe' +h +s "<Полный путь к файлу>"