Trojan.MulDrop5.8855

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsu2.tmp\ns1E.tmp' cmd.exe /C del /P /Q "icon2.ico"
'%TEMP%\nsu2.tmp\ns1D.tmp' cmd.exe /C del /P /Q "icon1.ico"
'%TEMP%\nsu2.tmp\ns1F.tmp' cmd.exe /C del /P /Q "stop.ico"
'%TEMP%\nsu2.tmp\ns21.tmp' cmd.exe /C del /P /Q "<Текущая директория>\rc4.dat"
'%TEMP%\nsu2.tmp\ns20.tmp' cmd.exe /C del /P /Q "<Текущая директория>\MSRC4Plugin.dsm"
'%TEMP%\nsu2.tmp\ns19.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Blank.bmp"
'%TEMP%\nsu2.tmp\ns18.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Logo.bmp"
'%TEMP%\nsu2.tmp\ns1A.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Ring.wav"
'%TEMP%\nsu2.tmp\ns1C.tmp' cmd.exe /C del /P /Q "sas.dll"
'%TEMP%\nsu2.tmp\ns1B.tmp' cmd.exe /C del /P /Q "cad.exe"
'%TEMP%\nsu2.tmp\ns28.tmp' cmd.exe /C del /P /Q "Uninst.exe"
'%TEMP%\nsu2.tmp\ns27.tmp' cmd.exe /C del /P /Q "<Текущая директория>\UnDD.txt"
'%TEMP%\nsu2.tmp\ns29.tmp' cmd.exe /C del /P /Q "nsExec.dll"
'%TEMP%\nsu2.tmp\ns2B.tmp' cmd.exe /C RMDIR /S /Q "<Текущая директория>\Configs"
'%TEMP%\nsu2.tmp\ns2A.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Configs\*.*"
'%TEMP%\nsu2.tmp\ns23.tmp' cmd.exe /C del /P /Q "Helper.exe"
'%TEMP%\nsu2.tmp\ns22.tmp' cmd.exe /C del /P /Q "DualDesk.exe"
'%TEMP%\nsu2.tmp\ns24.tmp' cmd.exe /C del /P /Q "<Текущая директория>\DD.reg"
'%TEMP%\nsu2.tmp\ns26.tmp' cmd.exe /C del /P /Q "<Текущая директория>\DD.txt"
'%TEMP%\nsu2.tmp\ns25.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Advantig.txt"
'%TEMP%\nsu2.tmp\ns17.tmp' cmd.exe /C del /P /Q "<Текущая директория>\EndSes.cmd"
'%TEMP%\nsu2.tmp\ns9.tmp' "tskill.exe" DDHelper
'%TEMP%\nsu2.tmp\ns8.tmp' "sc.exe" delete DD_CAD
'%TEMP%\nsu2.tmp\nsA.tmp' "taskkill.exe" /F /IM DDHelper.exe /T
'%TEMP%\nsu2.tmp\nsC.tmp' "taskkill.exe" /F /IM DualDesk.exe /T
'%TEMP%\nsu2.tmp\nsB.tmp' "tskill.exe" DualDesk
'%TEMP%\nsu2.tmp\ns4.tmp' "sc.exe" stop DD_CAD
'%TEMP%\nsu2.tmp\ns3.tmp' "sc.exe" stop DD_Service
'%TEMP%\nsu2.tmp\ns5.tmp' "net.exe" stop DD_Service
'%TEMP%\nsu2.tmp\ns7.tmp' "sc.exe" delete DD_Service
'%TEMP%\nsu2.tmp\ns6.tmp' "net.exe" stop DD_CAD
'%TEMP%\nsu2.tmp\ns13.tmp' cmd.exe /C del /P /Q "<Текущая директория>\DD.bak"
'%TEMP%\nsu2.tmp\ns12.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Click the Connect Button to Continue.txt"
'%TEMP%\nsu2.tmp\ns14.tmp' cmd.exe /C del /P /Q "<Текущая директория>\DD2.txt"
'%TEMP%\nsu2.tmp\ns16.tmp' cmd.exe /C del /P /Q "<Текущая директория>\FeedBk.cmd"
'%TEMP%\nsu2.tmp\ns15.tmp' cmd.exe /C del /P /Q "<Текущая директория>\DD.txt"
'%TEMP%\nsu2.tmp\nsE.tmp' "netsh.exe" firewall delete allowedprogram "<Текущая директория>\DualDesk.exe" CURRENT
'%TEMP%\nsu2.tmp\nsD.tmp' "netsh.exe" firewall delete allowedprogram "<Текущая директория>\DualDesk.exe" ALL
'%TEMP%\nsu2.tmp\nsF.tmp' REG.EXE DELETE "HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\DualDesk-Server" /f
'%TEMP%\nsu2.tmp\ns11.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Flag.txt"
'%TEMP%\nsu2.tmp\ns10.tmp' cmd.exe /C del /P /Q "<Текущая директория>\Advantig.txt"

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /F /IM DDHelper.exe /T
'<SYSTEM32>\tskill.exe' DDHelper
'<SYSTEM32>\sc.exe' delete DD_CAD
'<SYSTEM32>\reg.exe' DELETE "HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\DualDesk-Server" /f
'<SYSTEM32>\taskkill.exe' /F /IM DualDesk.exe /T
'<SYSTEM32>\tskill.exe' DualDesk
'<SYSTEM32>\sc.exe' delete DD_Service
'<SYSTEM32>\net.exe' stop DD_Service
'<SYSTEM32>\sc.exe' stop DD_CAD
'<SYSTEM32>\sc.exe' stop DD_Service
'<SYSTEM32>\net1.exe' stop DD_CAD
'<SYSTEM32>\net.exe' stop DD_CAD
'<SYSTEM32>\net1.exe' stop DD_Service