Trojan.MulDrop38.65085

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RealtekAudioUpdate' = '%APPDATA%\Realtek\RtkAudioUpdate.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\realtekaudioupdatetask

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei21882\vcruntime140.dll
%TEMP%\_mei21882\_bz2.pyd
%TEMP%\_mei21882\_ctypes.pyd
%TEMP%\_mei21882\_decimal.pyd
%TEMP%\_mei21882\_hashlib.pyd
%TEMP%\_mei21882\_lzma.pyd
%TEMP%\_mei21882\_socket.pyd
%TEMP%\_mei21882\_sqlite3.pyd
%TEMP%\_mei21882\_ssl.pyd
%TEMP%\_mei21882\_zstd.pyd
%TEMP%\_mei21882\api-ms-win-core-console-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-datetime-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-debug-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-errorhandling-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-fibers-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-fibers-l1-1-1.dll
%TEMP%\_mei21882\api-ms-win-core-file-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-file-l1-2-0.dll
%TEMP%\_mei21882\api-ms-win-core-handle-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-heap-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-interlocked-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-libraryloader-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-localization-l1-2-0.dll
%TEMP%\_mei21882\api-ms-win-core-memory-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-namedpipe-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-processenvironment-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-processthreads-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-processthreads-l1-1-1.dll
%TEMP%\_mei21882\api-ms-win-core-profile-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-rtlsupport-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-string-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-synch-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-synch-l1-2-0.dll
%TEMP%\_mei21882\api-ms-win-core-sysinfo-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-sysinfo-l1-2-0.dll
%TEMP%\_mei21882\api-ms-win-core-timezone-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-core-util-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-conio-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-convert-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-environment-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-filesystem-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-heap-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-locale-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-process-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-runtime-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-stdio-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-string-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-time-l1-1-0.dll
%TEMP%\_mei21882\api-ms-win-crt-utility-l1-1-0.dll
%TEMP%\_mei21882\base_library.zip
%TEMP%\_mei21882\libcrypto-3.dll
%TEMP%\_mei21882\libffi-8.dll
%TEMP%\_mei21882\libssl-3.dll
%TEMP%\_mei21882\python314.dll
%TEMP%\_mei21882\select.pyd
%TEMP%\_mei21882\sqlite3.dll
%TEMP%\_mei21882\ucrtbase.dll
%TEMP%\_mei21882\unicodedata.pyd
%APPDATA%\realtek\rtkaudioupdate.exe

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\realtek\rtkaudioupdate.exe

Сетевая активность

Подключается к

'<LOCALNET>.29.188':4444

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "schtasks /create /tn "RealtekAudioUpdateTask" /tr "%APPDATA%\Realtek\RtkAudioUpdate.exe" /sc onlogon /ru "user" /rl highest /f" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "RealtekAudioUpdateTask" /tr "%APPDATA%\Realtek\RtkAudioUpdate.exe" /sc onlogon /ru "user" /rl highest /f