Trojan.MulDrop38.28995

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSecurityHealth' = '%APPDATA%\Microsoft\Windows\SecurityHealthService.exe'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\windows\securityhealthservice.exe
%TEMP%\ld_1781584036325.db
%TEMP%\ffck_1781584038957.db
%TEMP%\ffck_1781584038957.db-shm

Удаляет файлы, которые сам же создал

%TEMP%\ld_1781584036325.db
%TEMP%\ffck_1781584038957.db-shm
%TEMP%\ffck_1781584038957.db

Сетевая активность

Подключается к

'localhost':8000

Другое

Запускает на исполнение

'<SYSTEM32>\wbem\wmic.exe' bios get serialnumber (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' process get ProcessId (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' path AntivirusProduct get displayName /format:csv (со скрытым окном)
'<SYSTEM32>\netsh.exe' wlan show profiles (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\*.rdp "/s /b" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C cmdkey /list (со скрытым окном)
'<SYSTEM32>\cmdkey.exe' /list
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.txt "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.doc "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.docx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.xls "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.xlsx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.pdf "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.ppt "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.pptx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.odt "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.csv "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.xml "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.json "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.key "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.kdbx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Documents\**\*.ovpn "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.txt "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.doc "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.docx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.xls "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.xlsx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.pdf "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.ppt "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.pptx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.odt "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.csv "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.xml "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.json "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.key "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.kdbx "/s /b /a-d" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C dir %HOMEPATH%\Desktop\**\*.ovpn "/s /b /a-d" (со скрытым окном)