Trojan.MulDrop32.49516

Technical Information

Malicious functions

Launches a large number of processes

Modifies file system

Creates the following files

%TEMP%\uv8202.tmp
%TEMP%\uv8a60.tmp
%TEMP%\uvb293.tmp
%TEMP%\uvc6dc.tmp
%TEMP%\uvf1d0.tmp
%TEMP%\uvfffa.tmp
%TEMP%\uvcfe.tmp
<SYSTEM32>\windowspowershell\v1.0\test_file
<SYSTEM32>\windowspowershell\v1.0\test_file2
<SYSTEM32>\windowspowershell\v1.0\test_file_src
%TEMP%\uv1f36.tmp
<SYSTEM32>\windowspowershell\v1.0\watch_dir\file
<SYSTEM32>\windowspowershell\v1.0\watch_dir\file1
<SYSTEM32>\windowspowershell\v1.0\fs_event_stop_in_cb.txt
<SYSTEM32>\windowspowershell\v1.0\watch_dir\file2
<SYSTEM32>\windowspowershell\v1.0\watch_file
<SYSTEM32>\windowspowershell\v1.0\watch_dir\file.js
%TEMP%\uv7a49.tmp
%TEMP%\uv7dd4.tmp
%TEMP%\uva00c.tmp
<SYSTEM32>\windowspowershell\v1.0\test_file_lzjtz4
<SYSTEM32>\windowspowershell\v1.0\test_file_2
<SYSTEM32>\windowspowershell\v1.0\test_file_5
<SYSTEM32>\windowspowershell\v1.0\test_file_4
<SYSTEM32>\windowspowershell\v1.0\test_file_8
<SYSTEM32>\windowspowershell\v1.0\test_file_11
<SYSTEM32>\windowspowershell\v1.0\test_file_14
<SYSTEM32>\windowspowershell\v1.0\test_file_17
<SYSTEM32>\windowspowershell\v1.0\empty_dir
<SYSTEM32>\windowspowershell\v1.0\test_file_20
<SYSTEM32>\windowspowershell\v1.0\test_file_23
<SYSTEM32>\windowspowershell\v1.0\test_file_26
<SYSTEM32>\windowspowershell\v1.0\test_file_25
<SYSTEM32>\windowspowershell\v1.0\test_file_29
<SYSTEM32>\windowspowershell\v1.0\test_file_32
<SYSTEM32>\windowspowershell\v1.0\test_file_35
<SYSTEM32>\windowspowershell\v1.0\test_file_38
<SYSTEM32>\windowspowershell\v1.0\test_file_41
<SYSTEM32>\windowspowershell\v1.0\test_file_44
<SYSTEM32>\windowspowershell\v1.0\test_file_47
<SYSTEM32>\windowspowershell\v1.0\test_file_46
<SYSTEM32>\windowspowershell\v1.0\test_file_50
<SYSTEM32>\windowspowershell\v1.0\test_file_53
<SYSTEM32>\windowspowershell\v1.0\test_file_56
<SYSTEM32>\windowspowershell\v1.0\test_file_59
<SYSTEM32>\windowspowershell\v1.0\test_file_62
<SYSTEM32>\windowspowershell\v1.0\test_file_65
<SYSTEM32>\windowspowershell\v1.0\test_file_68
<SYSTEM32>\windowspowershell\v1.0\test_file_67
<SYSTEM32>\windowspowershell\v1.0\test_file_71
<SYSTEM32>\windowspowershell\v1.0\test_file_74
<SYSTEM32>\windowspowershell\v1.0\test_file_77
<SYSTEM32>\windowspowershell\v1.0\test_file_80
<SYSTEM32>\windowspowershell\v1.0\test_file_83
<SYSTEM32>\windowspowershell\v1.0\test_file_86
<SYSTEM32>\windowspowershell\v1.0\test_file_84
<SYSTEM32>\windowspowershell\v1.0\test_file_89
<SYSTEM32>\windowspowershell\v1.0\test_file_92
<SYSTEM32>\windowspowershell\v1.0\test_file_91
<SYSTEM32>\windowspowershell\v1.0\test_file_95
<SYSTEM32>\windowspowershell\v1.0\test_file_98
<SYSTEM32>\windowspowershell\v1.0\test_file_101
<SYSTEM32>\windowspowershell\v1.0\test_file_104
<SYSTEM32>\windowspowershell\v1.0\test_file_107
<SYSTEM32>\windowspowershell\v1.0\test_file_105
<SYSTEM32>\windowspowershell\v1.0\test_file_110
<SYSTEM32>\windowspowershell\v1.0\test_file_113
<SYSTEM32>\windowspowershell\v1.0\test_file_116
<SYSTEM32>\windowspowershell\v1.0\test_file_119
<SYSTEM32>\windowspowershell\v1.0\test_file_122
<SYSTEM32>\windowspowershell\v1.0\test_file_120
<SYSTEM32>\windowspowershell\v1.0\test_file_125
<SYSTEM32>\windowspowershell\v1.0\test_file_128
<SYSTEM32>\windowspowershell\v1.0\test_file_127
<SYSTEM32>\windowspowershell\v1.0\test_file_131
<SYSTEM32>\windowspowershell\v1.0\test_file_134
<SYSTEM32>\windowspowershell\v1.0\test_file_137
<SYSTEM32>\windowspowershell\v1.0\test_file_140
<SYSTEM32>\windowspowershell\v1.0\test_file_143
<SYSTEM32>\windowspowershell\v1.0\test_file_141
<SYSTEM32>\windowspowershell\v1.0\test_file_146
<SYSTEM32>\windowspowershell\v1.0\test_file_149
<SYSTEM32>\windowspowershell\v1.0\test_file_152
<SYSTEM32>\windowspowershell\v1.0\test_file_155
<SYSTEM32>\windowspowershell\v1.0\test_file_158
<SYSTEM32>\windowspowershell\v1.0\test_file_156
<SYSTEM32>\windowspowershell\v1.0\test_file_161
<SYSTEM32>\windowspowershell\v1.0\test_file_164
<SYSTEM32>\windowspowershell\v1.0\test_file_163
<SYSTEM32>\windowspowershell\v1.0\test_file_167
<SYSTEM32>\windowspowershell\v1.0\test_file_170
<SYSTEM32>\windowspowershell\v1.0\test_file_173
<SYSTEM32>\windowspowershell\v1.0\test_file_176
<SYSTEM32>\windowspowershell\v1.0\test_file_179
<SYSTEM32>\windowspowershell\v1.0\test_file_182
<SYSTEM32>\windowspowershell\v1.0\test_file_180
<SYSTEM32>\windowspowershell\v1.0\test_file_185
<SYSTEM32>\windowspowershell\v1.0\test_file_188
<SYSTEM32>\windowspowershell\v1.0\test_file_191
<SYSTEM32>\windowspowershell\v1.0\test_file_194
<SYSTEM32>\windowspowershell\v1.0\test_file_197
<SYSTEM32>\windowspowershell\v1.0\test_file_195
<SYSTEM32>\windowspowershell\v1.0\test_file_200
<SYSTEM32>\windowspowershell\v1.0\test_file_203
<SYSTEM32>\windowspowershell\v1.0\test_file_202
<SYSTEM32>\windowspowershell\v1.0\test_file_206
<SYSTEM32>\windowspowershell\v1.0\test_file_209
<SYSTEM32>\windowspowershell\v1.0\test_file_212
<SYSTEM32>\windowspowershell\v1.0\test_file_215
<SYSTEM32>\windowspowershell\v1.0\test_file_218
<SYSTEM32>\windowspowershell\v1.0\test_file_221
<SYSTEM32>\windowspowershell\v1.0\test_file_219
<SYSTEM32>\windowspowershell\v1.0\test_file_224
<SYSTEM32>\windowspowershell\v1.0\test_file_227
<SYSTEM32>\windowspowershell\v1.0\test_file_226
<SYSTEM32>\windowspowershell\v1.0\test_file_230
<SYSTEM32>\windowspowershell\v1.0\test_file_233
<SYSTEM32>\windowspowershell\v1.0\test_file_236
<SYSTEM32>\windowspowershell\v1.0\test_file_239
<SYSTEM32>\windowspowershell\v1.0\test_file_242
<SYSTEM32>\windowspowershell\v1.0\test_file_245
<SYSTEM32>\windowspowershell\v1.0\test_file_243
<SYSTEM32>\windowspowershell\v1.0\test_file_248
<SYSTEM32>\windowspowershell\v1.0\test_file_251
<SYSTEM32>\windowspowershell\v1.0\test_file_254
<SYSTEM32>\windowspowershell\v1.0\test_file_257
<SYSTEM32>\windowspowershell\v1.0\test_file_260
<SYSTEM32>\windowspowershell\v1.0\test_file_258
<SYSTEM32>\windowspowershell\v1.0\test_file_263
<SYSTEM32>\windowspowershell\v1.0\test_file_266
<SYSTEM32>\windowspowershell\v1.0\test_file_265
<SYSTEM32>\windowspowershell\v1.0\test_file_269
<SYSTEM32>\windowspowershell\v1.0\test_file_272
<SYSTEM32>\windowspowershell\v1.0\test_file_275
<SYSTEM32>\windowspowershell\v1.0\test_file_278
<SYSTEM32>\windowspowershell\v1.0\test_file_281
<SYSTEM32>\windowspowershell\v1.0\test_file_284
<SYSTEM32>\windowspowershell\v1.0\test_file_287
<SYSTEM32>\windowspowershell\v1.0\test_file_290
<SYSTEM32>\windowspowershell\v1.0\test_file_293
<SYSTEM32>\windowspowershell\v1.0\test_file_296
<SYSTEM32>\windowspowershell\v1.0\test_file_299
<SYSTEM32>\windowspowershell\v1.0\test_file_302
<SYSTEM32>\windowspowershell\v1.0\test_file_305
<SYSTEM32>\windowspowershell\v1.0\test_file_308
<SYSTEM32>\windowspowershell\v1.0\test_file_311
<SYSTEM32>\windowspowershell\v1.0\test_file_314
<SYSTEM32>\windowspowershell\v1.0\test_file_317
<SYSTEM32>\windowspowershell\v1.0\test_file_320
<SYSTEM32>\windowspowershell\v1.0\test_file_323
<SYSTEM32>\windowspowershell\v1.0\test_file_326
<SYSTEM32>\windowspowershell\v1.0\test_file_329
<SYSTEM32>\windowspowershell\v1.0\test_file_328
<SYSTEM32>\windowspowershell\v1.0\test_file_332
<SYSTEM32>\windowspowershell\v1.0\test_file_335
<SYSTEM32>\windowspowershell\v1.0\test_file_338
<SYSTEM32>\windowspowershell\v1.0\test_file_341
<SYSTEM32>\windowspowershell\v1.0\test_file_344
<SYSTEM32>\windowspowershell\v1.0\test_file_347
<SYSTEM32>\windowspowershell\v1.0\test_file_350
<SYSTEM32>\windowspowershell\v1.0\test_file_349
<SYSTEM32>\windowspowershell\v1.0\test_file_353
<SYSTEM32>\windowspowershell\v1.0\test_file_356
<SYSTEM32>\windowspowershell\v1.0\test_file_359
<SYSTEM32>\windowspowershell\v1.0\test_file_362
<SYSTEM32>\windowspowershell\v1.0\test_file_365
<SYSTEM32>\windowspowershell\v1.0\test_file_368
<SYSTEM32>\windowspowershell\v1.0\test_file_366
<SYSTEM32>\windowspowershell\v1.0\test_file_371
<SYSTEM32>\windowspowershell\v1.0\test_file_374
<SYSTEM32>\windowspowershell\v1.0\test_file_373
<SYSTEM32>\windowspowershell\v1.0\test_file_377
<SYSTEM32>\windowspowershell\v1.0\test_file_380
<SYSTEM32>\windowspowershell\v1.0\test_file_383
<SYSTEM32>\windowspowershell\v1.0\test_file_386
<SYSTEM32>\windowspowershell\v1.0\test_file_389
<SYSTEM32>\windowspowershell\v1.0\test_file_387
<SYSTEM32>\windowspowershell\v1.0\test_file_392
<SYSTEM32>\windowspowershell\v1.0\test_file_395
<SYSTEM32>\windowspowershell\v1.0\test_file_398
<SYSTEM32>\windowspowershell\v1.0\test_file_401
<SYSTEM32>\windowspowershell\v1.0\test_file_404
<SYSTEM32>\windowspowershell\v1.0\test_file_402
<SYSTEM32>\windowspowershell\v1.0\test_file_407
<SYSTEM32>\windowspowershell\v1.0\test_file_410
<SYSTEM32>\windowspowershell\v1.0\test_file_409
<SYSTEM32>\windowspowershell\v1.0\test_file_413
<SYSTEM32>\windowspowershell\v1.0\test_file_416
<SYSTEM32>\windowspowershell\v1.0\test_file_419
<SYSTEM32>\windowspowershell\v1.0\test_file_422
<SYSTEM32>\windowspowershell\v1.0\test_file_425
<SYSTEM32>\windowspowershell\v1.0\test_file_423
<SYSTEM32>\windowspowershell\v1.0\test_file_428
<SYSTEM32>\windowspowershell\v1.0\test_file_431
<SYSTEM32>\windowspowershell\v1.0\test_file_434
<SYSTEM32>\windowspowershell\v1.0\test_file_437
<SYSTEM32>\windowspowershell\v1.0\test_file_440
<SYSTEM32>\windowspowershell\v1.0\test_file_438
<SYSTEM32>\windowspowershell\v1.0\test_file_443
<SYSTEM32>\windowspowershell\v1.0\test_file_446
<SYSTEM32>\windowspowershell\v1.0\test_file_445
<SYSTEM32>\windowspowershell\v1.0\test_file_449
<SYSTEM32>\windowspowershell\v1.0\test_file_452
<SYSTEM32>\windowspowershell\v1.0\test_file_455
<SYSTEM32>\windowspowershell\v1.0\test_file_458
<SYSTEM32>\windowspowershell\v1.0\test_file_461
<SYSTEM32>\windowspowershell\v1.0\test_file_464
<SYSTEM32>\windowspowershell\v1.0\test_file_462
<SYSTEM32>\windowspowershell\v1.0\test_file_467
<SYSTEM32>\windowspowershell\v1.0\test_file_470
<SYSTEM32>\windowspowershell\v1.0\test_file_473
<SYSTEM32>\windowspowershell\v1.0\test_file_476
<SYSTEM32>\windowspowershell\v1.0\test_file_479
<SYSTEM32>\windowspowershell\v1.0\test_file_477
<SYSTEM32>\windowspowershell\v1.0\test_file_482
<SYSTEM32>\windowspowershell\v1.0\test_file_485
<SYSTEM32>\windowspowershell\v1.0\test_file_484
<SYSTEM32>\windowspowershell\v1.0\test_file_488
<SYSTEM32>\windowspowershell\v1.0\test_file_491
<SYSTEM32>\windowspowershell\v1.0\test_file_494
<SYSTEM32>\windowspowershell\v1.0\test_file_497
<SYSTEM32>\windowspowershell\v1.0\test_file_500
<SYSTEM32>\windowspowershell\v1.0\test_file_503
<SYSTEM32>\windowspowershell\v1.0\test_file_501
<SYSTEM32>\windowspowershell\v1.0\test_file_506
<SYSTEM32>\windowspowershell\v1.0\test_file_509
<SYSTEM32>\windowspowershell\v1.0\test_file_508
<SYSTEM32>\windowspowershell\v1.0\test_file_512
<SYSTEM32>\windowspowershell\v1.0\test_file_515
<SYSTEM32>\windowspowershell\v1.0\test_file_518
<SYSTEM32>\windowspowershell\v1.0\test_file_521
<SYSTEM32>\windowspowershell\v1.0\test_file_524
<SYSTEM32>\windowspowershell\v1.0\test_file_527
<SYSTEM32>\windowspowershell\v1.0\test_file_525
<SYSTEM32>\windowspowershell\v1.0\test_file_530
<SYSTEM32>\windowspowershell\v1.0\test_file_533
<SYSTEM32>\windowspowershell\v1.0\test_file_536
<SYSTEM32>\windowspowershell\v1.0\test_file_539
<SYSTEM32>\windowspowershell\v1.0\test_file_542
<SYSTEM32>\windowspowershell\v1.0\test_file_540
<SYSTEM32>\windowspowershell\v1.0\test_file_545
<SYSTEM32>\windowspowershell\v1.0\test_file_548
<SYSTEM32>\windowspowershell\v1.0\test_file_547
<SYSTEM32>\windowspowershell\v1.0\test_file_551
<SYSTEM32>\windowspowershell\v1.0\test_file_554
<SYSTEM32>\windowspowershell\v1.0\test_file_557
<SYSTEM32>\windowspowershell\v1.0\test_file_560
<SYSTEM32>\windowspowershell\v1.0\test_file_563
%TEMP%\uvdbc2.tmp
%TEMP%\uve20d.tmp
%TEMP%\uve3e3.tmp
<SYSTEM32>\windowspowershell\v1.0\testfile
%TEMP%\uvfc56.tmp

Moves the following files

from <SYSTEM32>\windowspowershell\v1.0\test_file to <SYSTEM32>\windowspowershell\v1.0\test_file2

Substitutes the following files

<SYSTEM32>\windowspowershell\v1.0\test_file
<SYSTEM32>\windowspowershell\v1.0\test_file2

Network activity

Connects to

'localhost':9123

TCP

Other

'localhost':9123
'localhost':49690

Miscellaneous

Restarts the analyzed sample

Executes the following

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Full path to file>"
'<SYSTEM32>\cmd.exe' /c icacls test_file_icacls /remove "user" /inheritance:e
'<SYSTEM32>\icacls.exe' test_file_icacls /remove "user" /inheritance:e
'<SYSTEM32>\cmd.exe' /c icacls test_file_icacls /inheritance:r /remove "user"
'<SYSTEM32>\icacls.exe' test_file_icacls /inheritance:r /remove "user"
'<SYSTEM32>\cmd.exe' /c icacls test_file_icacls /grant "user":RX
'<SYSTEM32>\icacls.exe' test_file_icacls /grant "user":RX
'<Full path to file>' spawn_helper4' (with hidden window)

Technologies

Terminology

Training and education

Myths

Technical Information

Curing recommendations

Free trial