Trojan.MulDrop36.39479

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinUpdSvc' = '"<Полный путь к файлу>" "%TEMP%\_MEI17842\winupdate.py"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\upd_nu3n.bat
<SYSTEM32>\tasks\microsoft\windows\updatecheck

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=WinUpd445 dir=in action=allow protocol=tcp localport=445
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=WinUpd135 dir=in action=allow protocol=tcp localport=135
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=WinUpd139 dir=in action=allow protocol=tcp localport=139
'<SYSTEM32>\taskkill.exe' /F /IM PccNTMon.exe
'<SYSTEM32>\taskkill.exe' /F /IM TmListen.exe
'<SYSTEM32>\taskkill.exe' /F /IM ntrtscan.exe
'<SYSTEM32>\taskkill.exe' /F /IM TMBMServer.exe
'<SYSTEM32>\taskkill.exe' /F /IM coreServiceShell.exe
'<SYSTEM32>\taskkill.exe' /F /IM PccNT.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei17842\vcruntime140.dll
%TEMP%\_mei17842\_bz2.pyd
%TEMP%\_mei17842\_cffi_backend.cp313-win_amd64.pyd
%TEMP%\_mei17842\_ctypes.pyd
%TEMP%\_mei17842\_decimal.pyd
%TEMP%\_mei17842\_hashlib.pyd
%TEMP%\_mei17842\_lzma.pyd
%TEMP%\_mei17842\_multiprocessing.pyd
%TEMP%\_mei17842\_queue.pyd
%TEMP%\_mei17842\_socket.pyd
%TEMP%\_mei17842\_ssl.pyd
%TEMP%\_mei17842\api-ms-win-core-console-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-datetime-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-debug-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-errorhandling-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-fibers-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-file-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-file-l1-2-0.dll
%TEMP%\_mei17842\api-ms-win-core-file-l2-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-handle-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-heap-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-interlocked-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-libraryloader-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-localization-l1-2-0.dll
%TEMP%\_mei17842\api-ms-win-core-memory-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-namedpipe-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-processenvironment-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-processthreads-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-processthreads-l1-1-1.dll
%TEMP%\_mei17842\api-ms-win-core-profile-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-rtlsupport-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-string-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-synch-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-synch-l1-2-0.dll
%TEMP%\_mei17842\api-ms-win-core-sysinfo-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-timezone-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-core-util-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-conio-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-convert-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-environment-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-filesystem-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-heap-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-locale-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-process-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-runtime-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-stdio-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-string-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-time-l1-1-0.dll
%TEMP%\_mei17842\api-ms-win-crt-utility-l1-1-0.dll
%TEMP%\_mei17842\base_library.zip
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\installer
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\metadata
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\record
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\wheel
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\licenses\license
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\licenses\license.apache
%TEMP%\_mei17842\cryptography-46.0.3.dist-info\licenses\license.bsd
%TEMP%\_mei17842\cryptography\hazmat\bindings\_rust.pyd
%TEMP%\_mei17842\libcrypto-3.dll
%TEMP%\_mei17842\libffi-8.dll
%TEMP%\_mei17842\libssl-3.dll
%TEMP%\_mei17842\pyexpat.pyd
%TEMP%\_mei17842\python3.dll
%TEMP%\_mei17842\python313.dll
%TEMP%\_mei17842\select.pyd
%TEMP%\_mei17842\ucrtbase.dll
%TEMP%\_mei17842\unicodedata.pyd
%WINDIR%update\test_8604.tmp
%WINDIR%update\update.log
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\upd_wc6b.bat
%WINDIR%update\config.dat

Удаляет файлы, которые сам же создал

%WINDIR%update\test_8604.tmp

Самоудаляется.

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WinUpdSvc /t REG_SZ /d "\"<Полный путь к файлу>\" \"%TEMP%\_MEI17842\winupdate.py\"" /f
'<SYSTEM32>\schtasks.exe' /create /tn Microsoft\Windows\UpdateCheck /tr "\"<Полный путь к файлу>\" \"%TEMP%\_MEI17842\winupdate.py\"" /sc onlogon /f
'<SYSTEM32>\sc.exe' stop ntrtscan
'<SYSTEM32>\sc.exe' config ntrtscan start= disabled
'<SYSTEM32>\sc.exe' stop TmListen
'<SYSTEM32>\sc.exe' config TmListen start= disabled
'<SYSTEM32>\sc.exe' stop PccNTMon
'<SYSTEM32>\sc.exe' config PccNTMon start= disabled
'<SYSTEM32>\sc.exe' stop TMBMServer
'<SYSTEM32>\sc.exe' config TMBMServer start= disabled
'<SYSTEM32>\sc.exe' stop tmccsf
'<SYSTEM32>\sc.exe' config tmccsf start= disabled
'<SYSTEM32>\sc.exe' stop WRSVC
'<SYSTEM32>\sc.exe' config WRSVC start= disabled
'<SYSTEM32>\sc.exe' stop ds_agent
'<SYSTEM32>\sc.exe' config ds_agent start= disabled
'<SYSTEM32>\sc.exe' stop TmProxy
'<SYSTEM32>\sc.exe' config TmProxy start= disabled
'<SYSTEM32>\sc.exe' stop tmusa
'<SYSTEM32>\sc.exe' config tmusa start= disabled
'<SYSTEM32>\wevtutil.exe' cl Application
'<SYSTEM32>\wevtutil.exe' cl Security
'<SYSTEM32>\wevtutil.exe' cl System