Trojan.MulDrop.65285

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\xxyyaYOg] 'Logon' = 'o'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\xxyyaYOg] 'DllName' = 'xxyyaYOg.dll'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] '{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C}' = ''

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

C:\expi.exe
C:\focwow.exe
C:\kglqq.exe
C:\ktbfsqs.exe
C:\fowghe.exe
%APPDATA%\Microsoft\Windows\lsass.exe
C:\khxc.exe
%HOMEPATH%\DcLbBitX.exe
%HOMEPATH%\yytAwDaP.exe
<SYSTEM32>\m3V02\m3V022328.exe
%HOMEPATH%\VBdAtA.exe
%HOMEPATH%\AbweHPt.exe
C:\vxmqh.exe
C:\fowghe.exe (загружен из сети Интернет)
C:\khxc.exe (загружен из сети Интернет)
C:\focwow.exe (загружен из сети Интернет)
C:\kglqq.exe (загружен из сети Интернет)
C:\expi.exe (загружен из сети Интернет)
C:\ktbfsqs.exe (загружен из сети Интернет)
C:\vxmqh.exe (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\rundll32.exe "<SYSTEM32>\efcBusrr.dll",s
<SYSTEM32>\dumprep.exe 3060 -dm 7 7 %TEMP%\WER492f.dir00\svchost.exe.hdmp 16325836412027180
<SYSTEM32>\rundll32.exe <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\svchost.exe
<SYSTEM32>\cmd.exe /c ""%HOMEPATH%\MMPXTB~1.BAT" "
<SYSTEM32>\cmd.exe /c %TEMP%\cbXRLcbC.bat "%HOMEPATH%\VBdAtA.exe"
<SYSTEM32>\svchost.exe
<SYSTEM32>\dumprep.exe 3060 -dm 7 7 %TEMP%\WER492f.dir00\svchost.exe.mdmp 16325836412027160

Внедряет код в

следующие системные процессы:

<SYSTEM32>\winlogon.exe

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = ''

Изменения в файловой системе:

Создает следующие файлы:

C:\focwow.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cvescpddqn[1].php
C:\expi.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\tdmaxbo[1].php
<SYSTEM32>\efcBusrr.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fmvwjxx[1].php
%TEMP%\WER492f.dir00\svchost.exe.mdmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\apstpldr.dll[1].html
C:\kglqq.exe
%TEMP%\WER492f.dir00\svchost.exe.hdmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\oyiiwwk[1].php
C:\fowghe.exe
%TEMP%\WER492f.dir00\manifest.txt
%TEMP%\WER492f.dir00\appcompat.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\sczzzaaooc[1]
C:\ktbfsqs.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\bhreefftg[1].php
C:\khxc.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gdwxxky[1].php
%HOMEPATH%\MmpxTBfvAQ.bat
<SYSTEM32>\MSINET.DEP
%HOMEPATH%\AbweHPt.exe
<SYSTEM32>\MSINET.OCX
<SYSTEM32>\MSINET.oca
<SYSTEM32>\xxyyaYOg.dll
%HOMEPATH%\yytAwDaP.exe
%HOMEPATH%\VBdAtA.exe
%HOMEPATH%\Cookies\%USERNAME%@wmvmedialease[1].txt
%HOMEPATH%\uMsuRKrBG.exe
<SYSTEM32>\pac.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hroolyc[1].php
%APPDATA%\Microsoft\Windows\lsass.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\IpGeo[1].aspx
C:\vxmqh.exe
C:\-1998166001
%TEMP%\cbXRLcbC.bat
<SYSTEM32>\m3V02\m3V022328.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\axulmzmnno[1].php
%HOMEPATH%\DcLbBitX.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\Microsoft\Windows\lsass.exe

Удаляет следующие файлы:

%HOMEPATH%\uMsuRKrBG.exe
%HOMEPATH%\DcLbBitX.exe
%HOMEPATH%\MmpxTBfvAQ.bat
%HOMEPATH%\VBdAtA.exe
%HOMEPATH%\yytAwDaP.exe
%HOMEPATH%\AbweHPt.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'64.##5.153.46':80
'ch##dhe.com':80
'localhost':1039
'localhost':1037
'aa###rixjt.com':80

TCP:

Запросы HTTP GET:

aa###rixjt.com/progs/fpiwjwxky/bhreefftg.php
aa###rixjt.com/progs/fpiwjwxky/tdmaxbo.php
aa###rixjt.com/progs/fpiwjwxky/gdwxxky.php
aa###rixjt.com/progs/fpiwjwxky/oyiiwwk.php?ad#################################################
aa###rixjt.com/progs/fpiwjwxky/sczzzaaooc
aa###rixjt.com/progs/fpiwjwxky/cvescpddqn.php
aa###rixjt.com/progs/fpiwjwxky/hroolyc.php
aa###rixjt.com/progs/fpiwjwxky/axulmzmnno.php?ad########
64.##5.153.46/reporting/IpGeo.aspx
ch##dhe.com/pas/apstpldr.dll.html?af#####################################################
aa###rixjt.com/progs/fpiwjwxky/fmvwjxx.php