Trojan.MulDrop1.54371

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Inoyikotadoqev' = 'rundll32.exe "%WINDIR%\nhcdeva2.dll",Startup'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\ibcrjqweexnsmiq] 'Name' = '%TEMP%\5.tmp'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\xfetyu.exe'
'%TEMP%\-1998166001'
'%TEMP%\icmxorke.exe'
'%TEMP%\jnvapei.exe'
'%TEMP%\kfloih.exe'
'%TEMP%\pvtqos.exe'
'%TEMP%\sccvroq.exe'
'%TEMP%\myavuud.exe'
'%TEMP%\hifpdnw.exe'
'%TEMP%\qqixism.exe'
'%TEMP%\Free.Movie.License1.exe'
'%TEMP%\jhuml.exe'
'%TEMP%\dmusmvp.exe'
'%TEMP%\Free.Movie.License3.exe'
'%TEMP%\Free.Movie.License2.exe'
'%APPDATA%\Free Movie License.exe'
'%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%HOMEPATH%\Local Settings\Temp -p~@S23js@@vBz99432@t9 "" ""
'%TEMP%\sccvroq.exe' (загружен из сети Интернет)
'%TEMP%\pvtqos.exe' (загружен из сети Интернет)
'%TEMP%\myavuud.exe' (загружен из сети Интернет)
'%TEMP%\hifpdnw.exe' (загружен из сети Интернет)
'%TEMP%\icmxorke.exe' (загружен из сети Интернет)
'%TEMP%\jhuml.exe' (загружен из сети Интернет)
'%TEMP%\dmusmvp.exe' (загружен из сети Интернет)
'%TEMP%\qqixism.exe' (загружен из сети Интернет)
'%TEMP%\-1998166001' (загружен из сети Интернет)
'%TEMP%\kfloih.exe' (загружен из сети Интернет)
'%TEMP%\jnvapei.exe' (загружен из сети Интернет)
'%TEMP%\xfetyu.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\d.bat" "
'<SYSTEM32>\ping.exe' -n 1 localhost
'<SYSTEM32>\rundll32.exe' "%WINDIR%\nhcdeva2.dll",iep
'<SYSTEM32>\rundll32.exe' "%WINDIR%\nhcdeva2.dll",Startup
'<SYSTEM32>\wscript.exe' "%TEMP%\b.vbs"
'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\spoolsv.exe

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\wknic[1].php
%TEMP%\xfetyu.exe
%TEMP%\-1998166001
%TEMP%\kfloih.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\yctbwh[1].php
%TEMP%\icmxorke.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\otjrzgb[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wnqcw[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\zmhbj[1].php
%TEMP%\jnvapei.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hlojeyxemt[1].php
%TEMP%\sccvroq.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vmdxsdyfa[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\jjnhtav[1].php
%WINDIR%\uwugayusaqitihum.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\CAJQG7BP.php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\pqksmhcwel[1].php
%TEMP%\myavuud.exe
%TEMP%\hifpdnw.exe
%TEMP%\pvtqos.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\lpgbiq[1].php
%TEMP%\Free.Movie.License1.exe
%TEMP%\4.tmp
%TEMP%\Free.Movie.License2.exe
%WINDIR%\Temp\6.tmp
%TEMP%\Free.Movie.License3.exe
%TEMP%\7za.exe
%TEMP%\nsu2.tmp
%TEMP%\a1.7z
%TEMP%\nsx3.tmp\ExecDos.dll
%APPDATA%\Free Movie License.exe
%TEMP%\b.vbs
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\imqkfqys[1].php
%TEMP%\dmusmvp.exe
%TEMP%\jhuml.exe
%TEMP%\qqixism.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mmuyj[1].php
%WINDIR%\nhcdeva2.dll
%TEMP%\Twain001.Mtx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mzqlwqyg[1].php
%TEMP%\d.bat

Удаляет следующие файлы:

%TEMP%\Free.Movie.License3.exe
<SYSTEM32>\svchost.exe
%TEMP%\nsx3.tmp\ExecDos.dll
%TEMP%\5.tmp
%WINDIR%\Temp\6.tmp

Перемещает следующие файлы:

%APPDATA%\Free Movie License.exe в %TEMP%\7.tmp
%TEMP%\4.tmp в %TEMP%\5.tmp

Самоудаляется.

Сетевая активность:

Подключается к:

'co###ockxs.com':80
'01######061f.aginder.net':80
'ac##owd.com':80
'localhost':1039

TCP:

Запросы HTTP GET:

ac##owd.com/ekbjqlgny/pqksmhcwel.php?ad########
ac##owd.com/ekbjqlgny/hlojeyxemt.php?ad########
ac##owd.com/ekbjqlgny/yctbwh.php?ad########
ac##owd.com/ekbjqlgny/jjnhtav.php?ad#################################################
ac##owd.com/ekbjqlgny/vmdxsdyfa.php?ad########
ac##owd.com/ekbjqlgny/lpgbiq.php?ad########
ac##owd.com/ekbjqlgny/wknic.php?ad########
ac##owd.com/ekbjqlgny/mmuyj.php?ad########
ac##owd.com/ekbjqlgny/imqkfqys.php?ad########
ac##owd.com/ekbjqlgny/mzqlwqyg.php?ad########
ac##owd.com/ekbjqlgny/zmhbj.php?ad########
ac##owd.com/ekbjqlgny/wnqcw.php?ad########
ac##owd.com/ekbjqlgny/otjrzgb.php?ad########