Trojan.MulDrop5.46547

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\PfModNT] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\CRF0\_ISDel.exe'
'%TEMP%\_ISTMP1.DIR\_INS5576._MP'
'%TEMP%\CRF0\Setup.exe'

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /s/u "%PROGRAM_FILES%\Creative\ShareDLL\pfmod.dll"
'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\Creative\ShareDLL\pfmod.dll"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\CRF0\Drivers\WIN2K_XP\sfman32.dll
%TEMP%\CRF0\Drivers\WIN2K_XP\wdma_emu.cat
%TEMP%\CRF0\Drivers\WIN2K_XP\wdma_emu.inf
%TEMP%\CRF0\Drivers\WIN2K_XP\SBAudigy.ico
%TEMP%\CRF0\Drivers\WIN2K_XP\DEFAULT.ECW
%TEMP%\CRF0\Drivers\WIN2K_XP\e10kx2k.sys
%TEMP%\CRF0\Drivers\WIN2K_XP\emupia2k.sys
%TEMP%\CRF0\Inetreg.ini
%TEMP%\CRF0\Redist.ini
%TEMP%\CRF0\Setup.exe
%TEMP%\CRF0\SETUP.INI
%TEMP%\CRF0\os.dat
%TEMP%\CRF0\lang.dat
%TEMP%\CRF0\layout.bin
%TEMP%\CRF0\License.txt
%TEMP%\CRF0\Drivers\WIN2K_XP\CTDAUGHT.DAT
%TEMP%\CRF0\Drivers\WIN2K_XP\ctdlang.dat
%TEMP%\CRF0\Drivers\WIN2K_XP\ctljystk.cat
%TEMP%\CRF0\Drivers\WIN2K_XP\ctbasicw.dat
%TEMP%\CRF0\Drivers\WIN2K_XP\AUDIGYICON.bmp
%TEMP%\CRF0\Drivers\WIN2K_XP\ctac32k.sys
%TEMP%\CRF0\Drivers\WIN2K_XP\ctbas2w.dat
%TEMP%\CRF0\Drivers\WIN2K_XP\ctljystk.inf
%TEMP%\CRF0\Drivers\WIN2K_XP\Data\CTP0090W.DAT
%TEMP%\CRF0\Drivers\WIN2K_XP\Data\CTP0092W.DAT
%TEMP%\CRF0\Drivers\WIN2K_XP\Data\CTP0162W.DAT
%TEMP%\CRF0\Drivers\WIN2K_XP\CTSTATIC.DAT
%TEMP%\CRF0\Drivers\WIN2K_XP\ctoss2k.sys
%TEMP%\CRF0\Drivers\WIN2K_XP\ctprxy2k.sys
%TEMP%\CRF0\Drivers\WIN2K_XP\ctsfm2k.sys
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\PfModNT.sys
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Spk_4.reg
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Spk_5_1.reg
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\SYSNFO32.DLL
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\PfMod.dll
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Pfmod16.dll
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\PfModIntl.dll
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Spk_HP.reg
%PROGRAM_FILES%\Creative\ShareDLL\PfMod.dll
%PROGRAM_FILES%\Creative\ShareDLL\PfModIntl.dll
<SYSTEM32>\PfModNT.sys
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\value.shl
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Spk_LS.reg
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Dialog.bmp
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\CTHwAccl.728
%TEMP%\_ISTMP1.DIR\_WUTL951.DLL
%TEMP%\_ISTMP1.DIR\_INS0432.INI
%WINDIR%\_iserr31.ini
%TEMP%\_ISTMP1.DIR\ZDataI51.dll
%TEMP%\CRF0\setup.ins
%TEMP%\CRF0\setup.lid
%TEMP%\_ISTMP1.DIR\_INS5576._MP
%WINDIR%\_isenv31.ini
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Spk_2.reg
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\_Isuser.dll
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\CTDSETUP.DLL
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\_isres.dll
%WINDIR%\_delis32.ini
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Corecomp.ini
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Ctl3d32.dll
%TEMP%\CRF0\Drivers\COMMON\CTDPROXY.DLL
%TEMP%\CRF0\Drivers\COMMON\ctemupiadefault.dll
%TEMP%\CRF0\Drivers\COMMON\CTOSUSER.DLL
%TEMP%\CRF0\Drivers\COMMON\CTDEVCON.DLL
%TEMP%\CRF0\Drivers\COMMON\ac3api.dll
%TEMP%\CRF0\Drivers\COMMON\commonfx.dll
%TEMP%\CRF0\Drivers\COMMON\CTASIO.DLL
%TEMP%\CRF0\Drivers\COMMON\ctsblfx.dll
%TEMP%\CRF0\Drivers\COMMON\EAXAC3.DLL
%TEMP%\CRF0\Drivers\COMMON\kill.ini
%TEMP%\CRF0\Drivers\COMMON\killapps.exe
%TEMP%\CRF0\Drivers\COMMON\DevConDefaultDatabase_Audigy.CDF
%TEMP%\CRF0\Drivers\COMMON\default.sfm
%TEMP%\CRF0\Drivers\COMMON\default4.sfm
%TEMP%\CRF0\Drivers\COMMON\default8.sfm
%TEMP%\CRF0\_Setup.dll
%TEMP%\CRF0\_sys1.cab
%TEMP%\CRF0\_sys1.hdr
%TEMP%\CRF0\_ISDel.exe
%TEMP%\CRF0\creaf_cs.exe
%TEMP%\CRF0\creaf.cab
%TEMP%\CRF0\_INST32I.EX_
%TEMP%\CRF0\_user1.cab
%TEMP%\CRF0\data1.cab
%TEMP%\CRF0\data1.hdr
%TEMP%\CRF0\DISK.ID
%TEMP%\CRF0\DATA.TAG
%TEMP%\CRF0\_user1.hdr
%TEMP%\CRF0\AUDIO.INI
%TEMP%\CRF0\CheckOS.exe
%TEMP%\CRF0\Drivers\LANG\InstResBrz.dll
%TEMP%\CRF0\Drivers\LANG\instResCHS.dll
%TEMP%\CRF0\Drivers\LANG\instResCHT.dll
%TEMP%\CRF0\Drivers\LANG\instRes.dll
%TEMP%\CRF0\Drivers\LANG\CTITA.DAT
%TEMP%\CRF0\Drivers\LANG\ctjpn.dat
%TEMP%\CRF0\Drivers\LANG\CTSPN.DAT
%TEMP%\CRF0\Drivers\LANG\instResDut.dll
%TEMP%\CRF0\Drivers\LANG\instResSpn.dll
%TEMP%\CRF0\Drivers\WebUpdateOct2001.ini
%TEMP%\CRF0\Drivers\WIN2K_XP\A3D.dll
%TEMP%\CRF0\Drivers\LANG\InstresJPN.dll
%TEMP%\CRF0\Drivers\LANG\instResFrn.dll
%TEMP%\CRF0\Drivers\LANG\instResGER.dll
%TEMP%\CRF0\Drivers\LANG\instResIta.dll
%TEMP%\CRF0\Drivers\COMMON\RegPLib.exe
%TEMP%\CRF0\Drivers\COMMON\sfman32.dll
%TEMP%\CRF0\Drivers\COMMON\sfms32.dll
%TEMP%\CRF0\Drivers\COMMON\ReadReg.exe
%TEMP%\CRF0\Drivers\COMMON\mididef.exe
%TEMP%\CRF0\Drivers\COMMON\OPENAL32.DLL
%TEMP%\CRF0\Drivers\COMMON\piaproxy.dll
%TEMP%\CRF0\Drivers\CTZAPXX.exe
%TEMP%\CRF0\Drivers\LANG\CTDUT.DAT
%TEMP%\CRF0\Drivers\LANG\CTFRN.DAT
%TEMP%\CRF0\Drivers\LANG\CTGER.DAT
%TEMP%\CRF0\Drivers\LANG\Ctcht.dat
%TEMP%\CRF0\Drivers\instwdm.dll
%TEMP%\CRF0\Drivers\LANG\CTBRZ.DAT
%TEMP%\CRF0\Drivers\LANG\CTCHS.DAT

Удаляет следующие файлы:

%WINDIR%\_isenv31.ini
%PROGRAM_FILES%\Creative\ShareDLL\PfModIntl.dll
%TEMP%\_ISTMP1.DIR\_INS0432.INI
%WINDIR%\_iserr31.ini

Перемещает следующие файлы:

%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\_Isuser.dll в %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\2d131.DLL
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\_isres.dll в %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\2d121.DLL
%TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\CTHwAccl.728 в %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\CTHwAccl.exe

Другое:

Ищет следующие окна: