Trojan.MulDrop2.31125

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = ''
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = ''
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = ''
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = ''
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = ''

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\baidu\dsetup.exe install
%PROGRAM_FILES%\baidu\msfsg.exe md5 -s newnetgar.dll -d newnetgar.dll md5 -s sumpod-nos.sys -d sumpod-nos.sys md5 -s spass.dll -d spass.dll md5 -s passthru.dll -d passthru.dll md5 -s dsetup.exe -d dsetup.exe

Запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\inf\oem15.PNF
%WINDIR%\inf\oem15.inf
%WINDIR%\inf\oem16.PNF
%WINDIR%\inf\oem16.inf
%PROGRAM_FILES%\baidu\sumpod-nos.sys
%PROGRAM_FILES%\baidu\newnetgar.dll
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\a18ca4003deb042bbee7a40f15e1970b_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Protect\S-1-5-21-1275210071-117609710-1801674531-500\8180d4ae-e265-4bdd-b46f-b71e07b22868
%WINDIR%\inf\INFCACHE.0
<SYSTEM32>\hardpol\MyIEData\SysDat.bin
<SYSTEM32>\hardpol\hardpol.dll
%APPDATA%\NetHome\main.ini
<DRIVERS>\sumpod.sys
<DRIVERS>\SET6.tmp
<SYSTEM32>\SET5.tmp
<SYSTEM32>\idecomp.dll
%APPDATA%\MyIEData\main.ini
%PROGRAM_FILES%\baidu\spass.dll
%PROGRAM_FILES%\baidu\is-1KRE6.tmp
%PROGRAM_FILES%\baidu\is-3BUCQ.tmp
%PROGRAM_FILES%\baidu\is-PG95U.tmp
%PROGRAM_FILES%\baidu\is-IS6ME.tmp
%TEMP%\is-FMDPC.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-GCGHD.tmp\<Имя вируса>.tmp
%TEMP%\is-FMDPC.tmp\spass.dll
%TEMP%\is-FMDPC.tmp\_isetup\_shfoldr.dll
%PROGRAM_FILES%\baidu\is-1FGIL.tmp
<SYSTEM32>\hardpol\MyIEData\main.ini
%PROGRAM_FILES%\baidu\is-184CA.tmp
%PROGRAM_FILES%\baidu\dsetup.exe
%PROGRAM_FILES%\baidu\passthru.dll
%PROGRAM_FILES%\baidu\is-KGQ6K.tmp
%PROGRAM_FILES%\baidu\is-PP4EE.tmp
%PROGRAM_FILES%\baidu\is-TBRKQ.tmp
%PROGRAM_FILES%\baidu\is-K2B1P.tmp