Trojan.MulDrop38.33292

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\prodseek watchdog (user)
<SYSTEM32>\tasks\prodseek collector (user)
<SYSTEM32>\tasks\prodseek sentinel (user)
<SYSTEM32>\tasks\prodseek rotator (user)
<SYSTEM32>\tasks\prodseek updater (user)
<SYSTEM32>\tasks\prodseek monitor (user)

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\prodseek\bin\prodseek.tmp
%LOCALAPPDATA%\prodseek\data\prodseek-lyfigh-user-v2.114.0-s39.db-journal
%LOCALAPPDATA%\prodseek\data\prodseek-lyfigh-user-v2.114.0-s39.db
%LOCALAPPDATA%\prodseek\logs\migration.state.tmp.arm
%LOCALAPPDATA%\prodseek\data\prodseek-lyfigh-user-v2.114.0-s39.db-shm
%LOCALAPPDATA%\prodseek\logs\migration.state.tmp.feed
%LOCALAPPDATA%\prodseek\data\prodseek-lyfigh-user-v2.114.0-s39.db-wal
%LOCALAPPDATA%\prodseek\logs\prodseek-lyfigh-user-v2.114.0.log
%LOCALAPPDATA%\prodseek\logs\migration.state.tmp.end
%TEMP%\prodseek-task-prodseek-watchdog--user-.xml
%TEMP%\prodseek-task-prodseek-collector--user-.xml
%TEMP%\prodseek-task-prodseek-sentinel--user-.xml
%TEMP%\prodseek-task-prodseek-rotator--user-.xml
%TEMP%\prodseek-task-prodseek-updater--user-.xml
%TEMP%\prodseek-task-prodseek-monitor--user-.xml
%LOCALAPPDATA%\prodseek\logs\writer.state.tmp
%LOCALAPPDATA%\prodseek\logs\ticker-accuracy.spill.tmp
%LOCALAPPDATA%\prodseek\bin\watchdog.tmp

Удаляет файлы, которые сам же создал

%LOCALAPPDATA%\prodseek\data\prodseek-lyfigh-user-v2.114.0-s39.db-journal
%TEMP%\prodseek-task-prodseek-watchdog--user-.xml
%TEMP%\prodseek-task-prodseek-collector--user-.xml
%TEMP%\prodseek-task-prodseek-sentinel--user-.xml
%TEMP%\prodseek-task-prodseek-rotator--user-.xml
%TEMP%\prodseek-task-prodseek-updater--user-.xml
%TEMP%\prodseek-task-prodseek-monitor--user-.xml

Перемещает следующие файлы

%LOCALAPPDATA%\prodseek\bin\prodseek.tmp в %LOCALAPPDATA%\prodseek\bin\prodseek.lock
%LOCALAPPDATA%\prodseek\logs\migration.state.tmp.arm в %LOCALAPPDATA%\prodseek\logs\migration.state
%LOCALAPPDATA%\prodseek\logs\migration.state.tmp.feed в %LOCALAPPDATA%\prodseek\logs\migration.state
%LOCALAPPDATA%\prodseek\logs\migration.state.tmp.end в %LOCALAPPDATA%\prodseek\logs\migration.state
%LOCALAPPDATA%\prodseek\logs\writer.state.tmp в %LOCALAPPDATA%\prodseek\logs\writer.state
%LOCALAPPDATA%\prodseek\logs\ticker-accuracy.spill.tmp в %LOCALAPPDATA%\prodseek\logs\ticker-accuracy.spill
%LOCALAPPDATA%\prodseek\bin\watchdog.tmp в %LOCALAPPDATA%\prodseek\bin\watchdog.state

Подменяет следующие файлы

%LOCALAPPDATA%\prodseek\bin\prodseek.tmp
%LOCALAPPDATA%\prodseek\logs\writer.state.tmp
%LOCALAPPDATA%\prodseek\bin\prodseek.lock
%LOCALAPPDATA%\prodseek\logs\ticker-accuracy.spill.tmp
%LOCALAPPDATA%\prodseek\logs\writer.state
%LOCALAPPDATA%\prodseek\logs\ticker-accuracy.spill

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\whoami.exe'
'<SYSTEM32>\icacls.exe' %LOCALAPPDATA%\Prodseek /setowner lyfigh\user
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Collector (user)" /FO LIST
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Watchdog (user)" /FO LIST
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Sentinel (user)" /FO LIST
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Rotator (user)" /FO LIST
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Updater (user)" /FO LIST
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Monitor (user)" /FO LIST
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Collector" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Watchdog" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Sentinel" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Consolidator" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Consolidator (user)" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Recovery" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Recovery (user)" /XML
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Watchdog (user)" /XML
'<SYSTEM32>\schtasks.exe' /Create /TN "Prodseek Watchdog (user)" /XML %TEMP%\prodseek-task-prodseek-watchdog--user-.xml /F
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Collector (user)" /XML
'<SYSTEM32>\schtasks.exe' /Create /TN "Prodseek Collector (user)" /XML %TEMP%\prodseek-task-prodseek-collector--user-.xml /F
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Sentinel (user)" /XML
'<SYSTEM32>\schtasks.exe' /Create /TN "Prodseek Sentinel (user)" /XML %TEMP%\prodseek-task-prodseek-sentinel--user-.xml /F
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Rotator (user)" /XML
'<SYSTEM32>\schtasks.exe' /Create /TN "Prodseek Rotator (user)" /XML %TEMP%\prodseek-task-prodseek-rotator--user-.xml /F
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Updater (user)" /XML
'<SYSTEM32>\schtasks.exe' /Create /TN "Prodseek Updater (user)" /XML %TEMP%\prodseek-task-prodseek-updater--user-.xml /F
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Monitor (user)" /XML
'<SYSTEM32>\schtasks.exe' /Create /TN "Prodseek Monitor (user)" /XML %TEMP%\prodseek-task-prodseek-monitor--user-.xml /F
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Updater Run (user)" /XML
'<SYSTEM32>\sc.exe' query Schedule
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Collector (user)" /FO LIST /V
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Watchdog (user)" /FO LIST /V
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Sentinel (user)" /FO LIST /V
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Rotator (user)" /FO LIST /V
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Updater (user)" /FO LIST /V
'<SYSTEM32>\schtasks.exe' /Query /TN "Prodseek Monitor (user)" /FO LIST /V