Trojan.MulDrop38.59701

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSystemHelper' = '"%APPDATA%\Microsoft\WindowsSystemHelper\WindowsSystemHelper.exe"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\windowssystemhelper.lnk
<SYSTEM32>\tasks\microsoft windows system helper

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei36122\pil\_avif.cp314-win_amd64.pyd
%TEMP%\_mei36122\pil\_imaging.cp314-win_amd64.pyd
%TEMP%\_mei36122\pil\_imagingcms.cp314-win_amd64.pyd
%TEMP%\_mei36122\pil\_imagingft.cp314-win_amd64.pyd
%TEMP%\_mei36122\pil\_imagingmath.cp314-win_amd64.pyd
%TEMP%\_mei36122\pil\_imagingtk.cp314-win_amd64.pyd
%TEMP%\_mei36122\pil\_webp.cp314-win_amd64.pyd
%TEMP%\_mei36122\vcruntime140.dll
%TEMP%\_mei36122\vcruntime140_1.dll
%TEMP%\_mei36122\_asyncio.pyd
%TEMP%\_mei36122\_bz2.pyd
%TEMP%\_mei36122\_cffi_backend.cp314-win_amd64.pyd
%TEMP%\_mei36122\_ctypes.pyd
%TEMP%\_mei36122\_decimal.pyd
%TEMP%\_mei36122\_elementtree.pyd
%TEMP%\_mei36122\_hashlib.pyd
%TEMP%\_mei36122\_lzma.pyd
%TEMP%\_mei36122\_multiprocessing.pyd
%TEMP%\_mei36122\_overlapped.pyd
%TEMP%\_mei36122\_queue.pyd
%TEMP%\_mei36122\_socket.pyd
%TEMP%\_mei36122\_ssl.pyd
%TEMP%\_mei36122\_uuid.pyd
%TEMP%\_mei36122\_wmi.pyd
%TEMP%\_mei36122\_zstd.pyd
%TEMP%\_mei36122\base_library.zip
%TEMP%\_mei36122\bcrypt\_bcrypt.pyd
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\installer
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\metadata
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\record
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\wheel
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\licenses\license
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\licenses\license.apache
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\licenses\license.bsd
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\sboms\cryptography-rust.cyclonedx.json
%TEMP%\_mei36122\cryptography-48.0.0.dist-info\sboms\sbom.json
%TEMP%\_mei36122\cryptography\hazmat\bindings\_rust.pyd
%TEMP%\_mei36122\libcrypto-3.dll
%TEMP%\_mei36122\libffi-8.dll
%TEMP%\_mei36122\libssl-3.dll
%TEMP%\_mei36122\psutil\_psutil_windows.pyd
%TEMP%\_mei36122\pyexpat.pyd
%TEMP%\_mei36122\python3.dll
%TEMP%\_mei36122\python314.dll
%TEMP%\_mei36122\pywin32_system32\pywintypes314.dll
%TEMP%\_mei36122\select.pyd
%TEMP%\_mei36122\temp_embedded_config.json
%TEMP%\_mei36122\unicodedata.pyd
%TEMP%\_mei36122\win32\win32api.pyd
%TEMP%\_mei36122\win32\win32evtlog.pyd
%APPDATA%\microsoft\windowssystemhelper\windowssystemhelper.exe

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\microsoft\windowssystemhelper\windowssystemhelper.exe
%APPDATA%\microsoft\windows\start menu\programs\startup\windowssystemhelper.lnk

Сетевая активность

Подключается к

'19#.#92.23.131':9999

TCP

Другие

'19#.#92.23.131':9999

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$WshShell = New-Object -ComObject WScript.Shell; $Shortcut = $WshShell.CreateShortcut(\"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\WindowsSystemHelper...
'<SYSTEM32>\cmd.exe' /c "schtasks /Query /TN "Microsoft Windows System Helper"" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "Microsoft Windows System Helper"
'<SYSTEM32>\cmd.exe' /c "schtasks /Create /TN "Microsoft Windows System Helper" /TR "%APPDATA%\Microsoft\WindowsSystemHelper\WindowsSystemHelper.exe" /SC ONLOGON /F /RL LIMITED /DELAY 0000:30" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /TN "Microsoft Windows System Helper" /TR "%APPDATA%\Microsoft\WindowsSystemHelper\WindowsSystemHelper.exe" /SC ONLOGON /F /RL LIMITED /DELAY 0000:30