Trojan.MulDrop22.48550

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Home' = '%TEMP%\RarSFX0\jre\bin\javaw.exe -jar %APPDATA%\Microsoft\.tmp\1691026659669.tmp'

Modifies file system

Creates the following files

%TEMP%\rarsfx0\jre\bin\api-ms-win-core-console-l1-1-0.dll
%TEMP%\rarsfx0\jre\lib\cmm\linear_rgb.pf
%TEMP%\rarsfx0\jre\lib\deploy\messages_zh_cn.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_sv.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_pt_br.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_ko.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_ja.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_zh_hk.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_it.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_es.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_de.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages.properties
%TEMP%\rarsfx0\jre\lib\deploy\ffjcext.zip
%TEMP%\rarsfx0\jre\lib\currency.data
%TEMP%\rarsfx0\jre\lib\content-types.properties
%TEMP%\rarsfx0\jre\lib\deploy\messages_fr.properties
%TEMP%\rarsfx0\jre\lib\cmm\srgb.pf
%TEMP%\rarsfx0\jre\lib\deploy\splash.gif
%TEMP%\rarsfx0\jre\lib\deploy\splash@2x.gif
%TEMP%\rarsfx0\jre\lib\ext\sunmscapi.jar
%TEMP%\rarsfx0\jre\lib\ext\sunjce_provider.jar
%TEMP%\rarsfx0\jre\lib\ext\sunec.jar
%TEMP%\rarsfx0\jre\lib\ext\nashorn.jar
%TEMP%\rarsfx0\jre\lib\ext\meta-index
%TEMP%\rarsfx0\jre\lib\ext\localedata.jar
%TEMP%\rarsfx0\jre\lib\ext\dnsns.jar
%TEMP%\rarsfx0\jre\lib\ext\jfxrt.jar
%TEMP%\rarsfx0\jre\lib\ext\jaccess.jar
%TEMP%\rarsfx0\jre\lib\ext\cldrdata.jar
%TEMP%\rarsfx0\jre\lib\ext\access-bridge-64.jar
%TEMP%\rarsfx0\jre\lib\deploy.jar
%TEMP%\rarsfx0\jre\lib\deploy\splash_11@2x-lic.gif
%TEMP%\rarsfx0\jre\lib\deploy\splash_11-lic.gif
%TEMP%\rarsfx0\jre\lib\deploy\messages_zh_tw.properties
%TEMP%\rarsfx0\jre\lib\cmm\pycc.pf
%TEMP%\rarsfx0\jre\lib\cmm\gray.pf
%TEMP%\rarsfx0\jre\lib\cmm\ciexyz.pf
%TEMP%\rarsfx0\jre\legal\jdk\freebxml.md
%TEMP%\rarsfx0\jre\legal\jdk\jopt-simple.md
%TEMP%\rarsfx0\jre\legal\jdk\joni.md
%TEMP%\rarsfx0\jre\legal\jdk\jcup.md
%TEMP%\rarsfx0\jre\legal\jdk\icu.md
%TEMP%\rarsfx0\jre\legal\jdk\giflib.md
%TEMP%\rarsfx0\jre\legal\jdk\jpeg.md
%TEMP%\rarsfx0\jre\legal\jdk\lcms.md
%TEMP%\rarsfx0\jre\legal\jdk\libpng.md
%TEMP%\rarsfx0\jre\legal\jdk\dom.md
%TEMP%\rarsfx0\jre\legal\jdk\cryptix.md
%TEMP%\rarsfx0\jre\legal\jdk\colorimaging.md
%TEMP%\rarsfx0\jre\legal\jdk\cldr.md
%TEMP%\rarsfx0\jre\legal\jdk\bcel.md
%TEMP%\rarsfx0\jre\legal\jdk\dynalink.md
%TEMP%\rarsfx0\jre\legal\jdk\mesa3d.md
%TEMP%\rarsfx0\jre\lib\charsets.jar
%TEMP%\rarsfx0\jre\legal\jdk\pkcs11wrapper.md
%TEMP%\rarsfx0\jre\lib\classlist
%TEMP%\rarsfx0\jre\legal\jdk\xalan.md
%TEMP%\rarsfx0\jre\lib\calendars.properties
%TEMP%\rarsfx0\jre\lib\amd64\jvm.cfg
%TEMP%\rarsfx0\jre\lib\accessibility.properties
%TEMP%\rarsfx0\jre\legal\jdk\zlib.md
%TEMP%\rarsfx0\jre\legal\jdk\xmlresolver.md
%TEMP%\rarsfx0\jre\legal\jdk\xerces.md
%TEMP%\rarsfx0\jre\legal\jdk\unicode.md
%TEMP%\rarsfx0\jre\legal\jdk\pkcs11cryptotoken.md
%TEMP%\rarsfx0\jre\legal\jdk\thaidict.md
%TEMP%\rarsfx0\jre\legal\jdk\santuario.md
%TEMP%\rarsfx0\jre\legal\jdk\relaxngom.md
%TEMP%\rarsfx0\jre\legal\jdk\relaxngdatatype.md
%TEMP%\rarsfx0\jre\legal\jdk\relaxngcc.md
%TEMP%\rarsfx0\jre\legal\jdk\asm.md
%TEMP%\rarsfx0\jre\legal\jdk\ecc.md
%TEMP%\rarsfx0\jre\lib\ext\sunpkcs11.jar
%TEMP%\rarsfx0\jre\lib\fonts\lucidasansdemibold.ttf
%TEMP%\rarsfx0\jre\lib\security\public_suffix_list.dat
%TEMP%\rarsfx0\jre\lib\security\policy\unlimited\us_export_policy.jar
%TEMP%\rarsfx0\jre\lib\security\policy\unlimited\local_policy.jar
%TEMP%\rarsfx0\jre\lib\security\policy\limited\us_export_policy.jar
%TEMP%\rarsfx0\jre\lib\security\policy\limited\local_policy.jar
%TEMP%\rarsfx0\jre\lib\security\javaws.policy
%TEMP%\rarsfx0\jre\lib\plugin.jar
%TEMP%\rarsfx0\jre\lib\security\java.security
%TEMP%\rarsfx0\jre\lib\security\cacerts
%TEMP%\rarsfx0\jre\lib\security\blacklisted.certs
%TEMP%\rarsfx0\jre\lib\security\blacklist
%TEMP%\rarsfx0\jre\lib\rt.jar
%TEMP%\rarsfx0\jre\lib\resources.jar
%TEMP%\rarsfx0\jre\lib\psfontj2d.properties
%TEMP%\rarsfx0\jre\lib\security\java.policy
%TEMP%\rarsfx0\jre\lib\psfont.properties.ja
%TEMP%\rarsfx0\jre\lib\sound.properties
%TEMP%\rarsfx0\doc1.exe
%LOCALAPPDATA%\adobe\color\profiles\wsrgb.icc
%LOCALAPPDATA%\adobe\color\profiles\wscrgb.icc
%APPDATA%\microsoft\.tmp\1691026659669.tmp
%TEMP%\hsperfdata_user\1832
%ALLUSERSPROFILE%\oracle\java\.oracle_jre_usage\60605e0720455d61.timestamp
%TEMP%\hsperfdata_user\2344
%TEMP%\rarsfx0\jre\lib\tzmappings
%TEMP%\rarsfx0\jre\lib\tzdb.dat
%TEMP%\rarsfx0\jre\welcome.html
%TEMP%\rarsfx0\jre\thirdpartylicensereadme.txt
%TEMP%\rarsfx0\jre\thirdpartylicensereadme-javafx.txt
%TEMP%\rarsfx0\jre\release
%TEMP%\rarsfx0\jre\readme.txt
%TEMP%\rarsfx0\jre\license
%TEMP%\rarsfx0\tbusiness profile.pdf
%TEMP%\rarsfx0\jre\lib\net.properties
%TEMP%\rarsfx0\jre\lib\management-agent.jar
%TEMP%\rarsfx0\jre\bin\prism_common.dll
%TEMP%\rarsfx0\jre\lib\fonts\lucidasansregular.ttf
%TEMP%\rarsfx0\jre\lib\images\cursors\invalid32x32.gif
%TEMP%\rarsfx0\jre\lib\images\cursors\cursors.properties
%TEMP%\rarsfx0\jre\lib\hijrah-config-umalqura.properties
%TEMP%\rarsfx0\jre\lib\fonts\lucidatypewriterregular.ttf
%TEMP%\rarsfx0\jre\lib\fonts\lucidatypewriterbold.ttf
%TEMP%\rarsfx0\jre\lib\images\cursors\win32_linknodrop32x32.gif
%TEMP%\rarsfx0\jre\lib\images\cursors\win32_copynodrop32x32.gif
%TEMP%\rarsfx0\jre\lib\images\cursors\win32_linkdrop32x32.gif
%TEMP%\rarsfx0\jre\lib\fonts\lucidabrightitalic.ttf
%TEMP%\rarsfx0\jre\lib\fonts\lucidabrightdemiitalic.ttf
%TEMP%\rarsfx0\jre\lib\fonts\lucidabrightdemibold.ttf
%TEMP%\rarsfx0\jre\lib\fontconfig.properties.src
%TEMP%\rarsfx0\jre\lib\fontconfig.bfc
%TEMP%\rarsfx0\jre\lib\fonts\lucidabrightregular.ttf
%TEMP%\rarsfx0\jre\lib\images\cursors\win32_movedrop32x32.gif
%TEMP%\rarsfx0\jre\lib\management\snmp.acl.template
%TEMP%\rarsfx0\jre\lib\ext\zipfs.jar
%TEMP%\rarsfx0\jre\lib\images\cursors\win32_copydrop32x32.gif
%TEMP%\rarsfx0\jre\lib\management\management.properties
%TEMP%\rarsfx0\jre\lib\management\jmxremote.password.template
%TEMP%\rarsfx0\jre\lib\management\jmxremote.access
%TEMP%\rarsfx0\jre\lib\logging.properties
%TEMP%\rarsfx0\jre\lib\jvm.hprof.txt
%TEMP%\rarsfx0\jre\lib\jsse.jar
%TEMP%\rarsfx0\jre\lib\jfxswt.jar
%TEMP%\rarsfx0\jre\lib\jfr.jar
%TEMP%\rarsfx0\jre\lib\jfr\profile.jfc
%TEMP%\rarsfx0\jre\lib\jfr\default.jfc
%TEMP%\rarsfx0\jre\lib\jce.jar
%TEMP%\rarsfx0\jre\lib\javaws.jar
%TEMP%\rarsfx0\jre\lib\javafx.properties
%TEMP%\rarsfx0\jre\lib\images\cursors\win32_movenodrop32x32.gif
%TEMP%\rarsfx0\jre\lib\flavormap.properties
%TEMP%\rarsfx0\jre\legal\javafx\webkit.md
%TEMP%\rarsfx0\jre\legal\javafx\public_suffix.md
%TEMP%\rarsfx0\jre\legal\javafx\mesa3d.md
%TEMP%\rarsfx0\jre\bin\deploy.dll
%TEMP%\rarsfx0\jre\bin\eula.dll
%TEMP%\rarsfx0\jre\bin\dt_socket.dll
%TEMP%\rarsfx0\jre\bin\dt_shmem.dll
%TEMP%\rarsfx0\jre\bin\dtplugin\npdeployjava1.dll
%TEMP%\rarsfx0\jre\bin\dtplugin\deployjava1.dll
%TEMP%\rarsfx0\jre\bin\glass.dll
%TEMP%\rarsfx0\jre\bin\fxplugins.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-stdio-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\bci.dll
%TEMP%\rarsfx0\jre\bin\awt.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-utility-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-time-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-string-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\dcpr.dll
%TEMP%\rarsfx0\jre\bin\decora_sse.dll
%TEMP%\rarsfx0\jre\bin\gstreamer-lite.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-runtime-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\javafx_font.dll
%TEMP%\rarsfx0\jre\bin\javacpl.exe
%TEMP%\rarsfx0\jre\bin\javacpl.cpl
%TEMP%\rarsfx0\jre\bin\javaaccessbridge-64.dll
%TEMP%\rarsfx0\jre\bin\java.exe
%TEMP%\rarsfx0\jre\bin\glib-lite.dll
%TEMP%\rarsfx0\jre\bin\javafx_iio.dll
%TEMP%\rarsfx0\jre\bin\java.dll
%TEMP%\rarsfx0\jre\bin\jaas_nt.dll
%TEMP%\rarsfx0\jre\bin\j2pkcs11.dll
%TEMP%\rarsfx0\jre\bin\j2pcsc.dll
%TEMP%\rarsfx0\jre\bin\instrument.dll
%TEMP%\rarsfx0\jre\bin\hprof.dll
%TEMP%\rarsfx0\jre\bin\java-rmi.exe
%TEMP%\rarsfx0\jre\bin\jabswitch.exe
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-process-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-private-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-namedpipe-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-localization-l1-2-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-libraryloader-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-interlocked-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-heap-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-processenvironment-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-handle-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-file-l1-2-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-file-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-errorhandling-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-debug-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-datetime-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-console-l1-2-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-file-l2-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-processthreads-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-processthreads-l1-1-1.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-memory-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-profile-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-util-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-locale-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-heap-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-filesystem-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-environment-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-convert-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-conio-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-timezone-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-crt-multibyte-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-sysinfo-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-synch-l1-2-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-synch-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-string-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\api-ms-win-core-rtlsupport-l1-1-0.dll
%TEMP%\rarsfx0\jre\bin\javaw.exe
%TEMP%\rarsfx0\jre\bin\javaws.exe
%TEMP%\rarsfx0\jre\bin\fontmanager.dll
%TEMP%\rarsfx0\jre\bin\java_crw_demo.dll
%TEMP%\rarsfx0\jre\bin\tnameserv.exe
%TEMP%\rarsfx0\jre\bin\splashscreen.dll
%TEMP%\rarsfx0\jre\bin\t2k.dll
%TEMP%\rarsfx0\jre\bin\sunmscapi.dll
%TEMP%\rarsfx0\jre\bin\sunec.dll
%TEMP%\rarsfx0\jre\bin\ssvagent.exe
%TEMP%\rarsfx0\jre\bin\ssv.dll
%TEMP%\rarsfx0\jre\bin\unpack200.exe
%TEMP%\rarsfx0\jre\bin\ucrtbase.dll
%TEMP%\rarsfx0\jre\bin\unpack.dll
%TEMP%\rarsfx0\jre\bin\server\jvm.dll
%TEMP%\rarsfx0\jre\bin\server\classes.jsa
%TEMP%\rarsfx0\jre\bin\rmiregistry.exe
%TEMP%\rarsfx0\jre\bin\rmid.exe
%TEMP%\rarsfx0\jre\bin\resource.dll
%TEMP%\rarsfx0\jre\bin\server\xusage.txt
%TEMP%\rarsfx0\jre\bin\vcruntime140.dll
%TEMP%\rarsfx0\jre\legal\javafx\libxslt.md
%TEMP%\rarsfx0\jre\bin\prism_sw.dll
%TEMP%\rarsfx0\jre\bin\jawt.dll
%TEMP%\rarsfx0\jre\legal\javafx\libxml2.md
%TEMP%\rarsfx0\jre\legal\javafx\libffi.md
%TEMP%\rarsfx0\jre\legal\javafx\jpeg_fx.md
%TEMP%\rarsfx0\jre\legal\javafx\icu_web.md
%TEMP%\rarsfx0\jre\legal\javafx\gstreamer.md
%TEMP%\rarsfx0\jre\legal\javafx\glib.md
%TEMP%\rarsfx0\jre\legal\javafx\directshow.md
%TEMP%\rarsfx0\jre\copyright
%TEMP%\rarsfx0\jre\bin\zip.dll
%TEMP%\rarsfx0\jre\bin\wsdetect.dll
%TEMP%\rarsfx0\jre\bin\windowsaccessbridge-64.dll
%TEMP%\rarsfx0\jre\bin\w2k_lsa_auth.dll
%TEMP%\rarsfx0\jre\bin\verify.dll
%TEMP%\rarsfx0\jre\bin\vcruntime140_1.dll
%TEMP%\rarsfx0\jre\bin\servertool.exe
%TEMP%\rarsfx0\jre\lib\meta-index
%LOCALAPPDATA%\adobe\color\acecache11.lst
%TEMP%\rarsfx0\jre\bin\policytool.exe
%TEMP%\rarsfx0\jre\bin\jsdt.dll
%TEMP%\rarsfx0\jre\bin\jpeg.dll
%TEMP%\rarsfx0\jre\bin\jp2ssv.dll
%TEMP%\rarsfx0\jre\bin\jp2native.dll
%TEMP%\rarsfx0\jre\bin\jp2launcher.exe
%TEMP%\rarsfx0\jre\bin\jsoundds.dll
%TEMP%\rarsfx0\jre\bin\jp2iexp.dll
%TEMP%\rarsfx0\jre\bin\jjs.exe
%TEMP%\rarsfx0\jre\bin\jfxwebkit.dll
%TEMP%\rarsfx0\jre\bin\jfxmedia.dll
%TEMP%\rarsfx0\jre\bin\jfr.dll
%TEMP%\rarsfx0\jre\bin\jdwp.dll
%TEMP%\rarsfx0\jre\bin\jawtaccessbridge-64.dll
%TEMP%\rarsfx0\jre\bin\jli.dll
%TEMP%\rarsfx0\jre\bin\keytool.exe
%TEMP%\rarsfx0\jre\bin\jsound.dll
%TEMP%\rarsfx0\jre\bin\kinit.exe
%TEMP%\rarsfx0\jre\bin\plugin2\vcruntime140.dll
%TEMP%\rarsfx0\jre\bin\net.dll
%TEMP%\rarsfx0\jre\bin\plugin2\npjp2.dll
%TEMP%\rarsfx0\jre\bin\plugin2\msvcp140.dll
%TEMP%\rarsfx0\jre\bin\pack200.exe
%TEMP%\rarsfx0\jre\bin\orbd.exe
%TEMP%\rarsfx0\jre\bin\npt.dll
%TEMP%\rarsfx0\jre\bin\nio.dll
%TEMP%\rarsfx0\jre\bin\msvcp140_2.dll
%TEMP%\rarsfx0\jre\bin\klist.exe
%TEMP%\rarsfx0\jre\bin\msvcp140_1.dll
%TEMP%\rarsfx0\jre\bin\msvcp140.dll
%TEMP%\rarsfx0\jre\bin\mlib_image.dll
%TEMP%\rarsfx0\jre\bin\management.dll
%TEMP%\rarsfx0\jre\bin\lcms.dll
%TEMP%\rarsfx0\jre\bin\ktab.exe
%TEMP%\rarsfx0\jre\bin\prism_d3d.dll
%TEMP%\a9r1i0l20a_1ldvhwn_110.tmp

Sets the 'hidden' attribute to the following files

%APPDATA%\microsoft\.tmp\1691026659669.tmp

Network activity

TCP

Other

'r0#.#uckdns.org':5010

UDP

DNS ASK r0#.#uckdns.org

Miscellaneous

Searches for the following windows

ClassName: 'EDIT' WindowName: ''

Creates and executes the following

'%TEMP%\rarsfx0\doc1.exe'
'%TEMP%\rarsfx0\jre\bin\javaw.exe' -version
'%TEMP%\rarsfx0\jre\bin\javaw.exe' -jar "%TEMP%\RarSFX0\Doc1.exe"

Executes the following

'<SYSTEM32>\icacls.exe' %ALLUSERSPROFILE%\Oracle\Java\.oracle_jre_usage /grant "everyone":(OI)(CI)M
'%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe' "%TEMP%\RarSFX0\TBUSINESS PROFILE.pdf"
'<SYSTEM32>\attrib.exe' +H %APPDATA%\Microsoft\.tmp\1691026659669.tmp
'<SYSTEM32>\cmd.exe' /c "REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Home /d "%TEMP%\RarSFX0\jre\bin\javaw.exe -jar %APPDATA%\Microsoft\.tmp\1691026659669.tmp" /f"
'<SYSTEM32>\reg.exe' ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Home /d "%TEMP%\RarSFX0\jre\bin\javaw.exe -jar %APPDATA%\Microsoft\.tmp\1691026659669.tmp" /f

Technologies

Terminology

Training and education

Myths

Technical Information

Curing recommendations

Free trial