Trojan.MulDrop41.44479

Техническая информация

Отработавшее пользовательское сигма правило:

24357373-078f-44ed-9ac4-6d334a668a11
de587dce-915e-4218-aac4-835ca6af6f70
02ee49e2-e294-4d0f-9278-f5b3212fc588
20f0ee37-5942-4e45-b7d5-c5b5db9df5cd

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'empyrean' = '%APPDATA%\empyrean\run.bat'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei31922\crypto\cipher\_arc4.pyd
%TEMP%\_mei31922\crypto\cipher\_salsa20.pyd
%TEMP%\_mei31922\crypto\cipher\_chacha20.pyd
%TEMP%\_mei31922\crypto\cipher\_pkcs1_decode.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_aes.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_aesni.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_arc2.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_blowfish.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_cast.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_cbc.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_cfb.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_ctr.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_des.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_des3.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_ecb.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_eksblowfish.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_ocb.pyd
%TEMP%\_mei31922\crypto\cipher\_raw_ofb.pyd
%TEMP%\_mei31922\crypto\hash\_blake2b.pyd
%TEMP%\_mei31922\crypto\hash\_blake2s.pyd
%TEMP%\_mei31922\crypto\hash\_md2.pyd
%TEMP%\_mei31922\crypto\hash\_md4.pyd
%TEMP%\_mei31922\crypto\hash\_md5.pyd
%TEMP%\_mei31922\crypto\hash\_ripemd160.pyd
%TEMP%\_mei31922\crypto\hash\_sha1.pyd
%TEMP%\_mei31922\crypto\hash\_sha224.pyd
%TEMP%\_mei31922\crypto\hash\_sha256.pyd
%TEMP%\_mei31922\crypto\hash\_sha384.pyd
%TEMP%\_mei31922\crypto\hash\_sha512.pyd
%TEMP%\_mei31922\crypto\hash\_ghash_clmul.pyd
%TEMP%\_mei31922\crypto\hash\_ghash_portable.pyd
%TEMP%\_mei31922\crypto\hash\_keccak.pyd
%TEMP%\_mei31922\crypto\hash\_poly1305.pyd
%TEMP%\_mei31922\crypto\math\_modexp.pyd
%TEMP%\_mei31922\crypto\protocol\_scrypt.pyd
%TEMP%\_mei31922\crypto\publickey\_curve25519.pyd
%TEMP%\_mei31922\crypto\publickey\_curve448.pyd
%TEMP%\_mei31922\crypto\publickey\_ec_ws.pyd
%TEMP%\_mei31922\crypto\publickey\_ed25519.pyd
%TEMP%\_mei31922\crypto\publickey\_ed448.pyd
%TEMP%\_mei31922\crypto\util\_cpuid_c.pyd
%TEMP%\_mei31922\crypto\util\_strxor.pyd
%TEMP%\_mei31922\pil\_avif.cp310-win_amd64.pyd
%TEMP%\_mei31922\pil\_imaging.cp310-win_amd64.pyd
%TEMP%\_mei31922\pil\_imagingcms.cp310-win_amd64.pyd
%TEMP%\_mei31922\pil\_imagingmath.cp310-win_amd64.pyd
%TEMP%\_mei31922\pil\_imagingtk.cp310-win_amd64.pyd
%TEMP%\_mei31922\pil\_webp.cp310-win_amd64.pyd
%TEMP%\_mei31922\pythonwin\mfc140u.dll
%TEMP%\_mei31922\pythonwin\win32ui.pyd
%TEMP%\_mei31922\vcruntime140.dll
%TEMP%\_mei31922\vcruntime140_1.dll
%TEMP%\_mei31922\_asyncio.pyd
%TEMP%\_mei31922\_bz2.pyd
%TEMP%\_mei31922\_ctypes.pyd
%TEMP%\_mei31922\_decimal.pyd
%TEMP%\_mei31922\_elementtree.pyd
%TEMP%\_mei31922\_hashlib.pyd
%TEMP%\_mei31922\_lzma.pyd
%TEMP%\_mei31922\_multiprocessing.pyd
%TEMP%\_mei31922\_overlapped.pyd
%TEMP%\_mei31922\_queue.pyd
%TEMP%\_mei31922\_socket.pyd
%TEMP%\_mei31922\_sqlite3.pyd
%TEMP%\_mei31922\_ssl.pyd
%TEMP%\_mei31922\_uuid.pyd
%TEMP%\_mei31922\aiohttp\_http_parser.cp310-win_amd64.pyd
%TEMP%\_mei31922\aiohttp\_http_writer.cp310-win_amd64.pyd
%TEMP%\_mei31922\aiohttp\_websocket\mask.cp310-win_amd64.pyd
%TEMP%\_mei31922\aiohttp\_websocket\reader_c.cp310-win_amd64.pyd
%TEMP%\_mei31922\attrs-25.3.0.dist-info\installer
%TEMP%\_mei31922\attrs-25.3.0.dist-info\metadata
%TEMP%\_mei31922\attrs-25.3.0.dist-info\record
%TEMP%\_mei31922\attrs-25.3.0.dist-info\wheel
%TEMP%\_mei31922\attrs-25.3.0.dist-info\licenses\license
%TEMP%\_mei31922\base_library.zip
%TEMP%\_mei31922\certifi\cacert.pem
%TEMP%\_mei31922\charset_normalizer\md.cp310-win_amd64.pyd
%TEMP%\_mei31922\charset_normalizer\md__mypyc.cp310-win_amd64.pyd
%TEMP%\_mei31922\frozenlist\_frozenlist.cp310-win_amd64.pyd
%TEMP%\_mei31922\libcrypto-1_1.dll
%TEMP%\_mei31922\libffi-7.dll
%TEMP%\_mei31922\libssl-1_1.dll
%TEMP%\_mei31922\multidict\_multidict.cp310-win_amd64.pyd
%TEMP%\_mei31922\propcache\_helpers_c.cp310-win_amd64.pyd
%TEMP%\_mei31922\psutil\_psutil_windows.pyd
%TEMP%\_mei31922\pyexpat.pyd
%TEMP%\_mei31922\python3.dll
%TEMP%\_mei31922\python310.dll
%TEMP%\_mei31922\pywin32_system32\pythoncom310.dll
%TEMP%\_mei31922\pywin32_system32\pywintypes310.dll
%TEMP%\_mei31922\select.pyd
%TEMP%\_mei31922\sqlite3.dll
%TEMP%\_mei31922\unicodedata.pyd
%TEMP%\_mei31922\win32\_win32sysloader.pyd
%TEMP%\_mei31922\win32\win32api.pyd
%TEMP%\_mei31922\win32\win32crypt.pyd
%TEMP%\_mei31922\win32\win32event.pyd
%TEMP%\_mei31922\win32\win32trace.pyd
%TEMP%\_mei31922\yarl\_quoting_c.cp310-win_amd64.pyd
%TEMP%\gen_py\3.10\__init__.py
%TEMP%\gen_py\3.10\dicts.dat
%APPDATA%\empyrean\dat.txt
%APPDATA%\empyrean\run.bat

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v empyrean /f" (со скрытым окном)
'<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v empyrean /f
'<SYSTEM32>\cmd.exe' /c "reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v empyrean /t REG_SZ /d %APPDATA%\empyrean\run.bat /f" (со скрытым окном)
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v empyrean /t REG_SZ /d %APPDATA%\empyrean\run.bat /f