Trojan.MulDrop38.27627

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /IM Steam.exe /F
'<SYSTEM32>\taskkill.exe' /IM javaw.exe /F
'<SYSTEM32>\taskkill.exe' /IM Exodus.exe /F
'<SYSTEM32>\taskkill.exe' /IM Telegram.exe /F

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\package.json
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\index.js
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\darwin_arm64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\darwin_x64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\freebsd_arm64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\freebsd_ia32\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\freebsd_x64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\linux_armhf\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\linux_arm64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\linux_ia32\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\linux_loong64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\linux_riscv64d\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\linux_x64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\openbsd_ia32\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\openbsd_x64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\win32_arm64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\win32_ia32\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\win32_x64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\musl_arm64\koffi.node
%HOMEPATH%\.cache\pkg\a6caa84c1f8c459215a783318b818d3fa1b260d2d821c22c22864cd2af216490\koffi\build\koffi\musl_x64\koffi.node
%APPDATA%\windowssystemservice\config.json
%APPDATA%\windowssystemservice\logs\service.log
%TEMP%\systemservice_readme.txt
%TEMP%\version.txt
nul

Сетевая активность

UDP

DNS ASK cl###flare.com
DNS ASK google.com
DNS ASK gl####cdn.nuget.org
DNS ASK ap#.##legram.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -ExecutionPolicy Bypass -Command "Add-Type -AssemblyName System.Security;$b=[Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAARffMON4uAUOCSFoZ4fGQGhAA... (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-Type -AssemblyName System.Security;$b=[Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAARffMON4uAUOCSFoZ4fGQGhAAAAAKAAAARQBkAGcAZQAAA...
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM Steam.exe /F" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM javaw.exe /F" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM Exodus.exe /F" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "tasklist" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "powershell -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "Add-Type -AssemblyName System.Windows.Forms,System.Drawing; $bounds = [System.Windows.Forms.Screen]::Primar... (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "Add-Type -AssemblyName System.Windows.Forms,System.Drawing; $bounds = [System.Windows.Forms.Screen]::PrimaryScreen.Bounds; $bitm...
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM Telegram.exe /F" (со скрытым окном)