Trojan.MulDrop5.37412

Добавлен в вирусную базу Dr.Web: 2014-08-07

Описание добавлено: 2014-08-08

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\P7SFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenPKCS7 %1'
[<HKLM>\SOFTWARE\Classes\SPCFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenPKCS7 %1'
[<HKLM>\SOFTWARE\Classes\P7RFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenP7R %1'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet] 'DllName' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt32chain] 'DllName' = ''
[<HKLM>\SOFTWARE\Classes\CertificateStoreFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenSTR %1'
[<HKLM>\SOFTWARE\Classes\CERFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCER %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{8C7461EF-2B13-11d2-BE35-3078302C2030}' = 'Component Categories cache daemon'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{438755C2-A8BA-11D1-B96B-00A0C90312E1}' = 'Browseui preloader'
[<HKLM>\SOFTWARE\Classes\CRLFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCRL %1'
[<HKLM>\SOFTWARE\Classes\STLFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCTL %1'
[<HKLM>\SOFTWARE\Classes\CATFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCAT %1'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /s /i:GPKCSP.DLL GPKCSP.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:hnetcfg.dll hnetcfg.dll
'<SYSTEM32>\regsvr32.exe' /s /i:ieapfltr.dll ieapfltr.dll
'<SYSTEM32>\regsvr32.exe' /s /i:dxtrans.dll dxtrans.dll
'<SYSTEM32>\regsvr32.exe' /s /i:DSOUND.dll DSOUND.dll
'<SYSTEM32>\regsvr32.exe' /s /i:DSSENH.DLL DSSENH.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:Dxtmsft.dll Dxtmsft.dll
'<SYSTEM32>\regsvr32.exe' /s /i:IEFRAME.dll IEFRAME.dll
'<SYSTEM32>\regsvr32.exe' /s /i:IMKRAPI.DLL IMKRAPI.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:IMKRTIP.DLL IMKRTIP.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:INITPKI.DLL INITPKI.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:IMJKAPI.DLL IMJKAPI.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:iepeers.dll iepeers.dll
'<SYSTEM32>\regsvr32.exe' /s /i:IMETIP.DLL IMETIP.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:ImgUtil.dll ImgUtil.dll
'<SYSTEM32>\regsvr32.exe' /s /i:appHelp.dll appHelp.dll
'<SYSTEM32>\regsvr32.exe' /s /i:BROWSEUI.DLL BROWSEUI.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:CLBCATQ.DLL CLBCATQ.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:ADVAPI32.dll ADVAPI32.dll
'<SYSTEM32>\ipconfig.exe' /flushdns
'<SYSTEM32>\regsvr32.exe' /s /i:AcLayers.DLL AcLayers.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:ACTXPRXY.DLL ACTXPRXY.DLL
'<SYSTEM32>\regsvr32.exe' /s /i:comctl32.dll comctl32.dll
'<SYSTEM32>\regsvr32.exe' /s /i:DCIMAN32.dll DCIMAN32.dll
'<SYSTEM32>\regsvr32.exe' /s /i:DDRAW.dll DDRAW.dll
'<SYSTEM32>\regsvr32.exe' /s /i:DNSAPI.dll DNSAPI.dll
'<SYSTEM32>\regsvr32.exe' /s /i:cryptdll.dll cryptdll.dll
'<SYSTEM32>\regsvr32.exe' /s /i:comdlg32.dll comdlg32.dll
'<SYSTEM32>\regsvr32.exe' /s /i:CRYPT32.dll CRYPT32.dll
'<SYSTEM32>\regsvr32.exe' /s /i:CRYPTDLG.DLL CRYPTDLG.DLL

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\CatRoot\TMPF.tmp
<SYSTEM32>\CatRoot\TMP10.tmp
<SYSTEM32>\CatRoot\TMP11.tmp
<SYSTEM32>\CatRoot\TMPC.tmp
<SYSTEM32>\CatRoot\TMPD.tmp
<SYSTEM32>\CatRoot\TMPE.tmp
<SYSTEM32>\CatRoot\TMP15.tmp
<SYSTEM32>\CatRoot\TMP16.tmp
<SYSTEM32>\CatRoot\TMP17.tmp
<SYSTEM32>\CatRoot\TMP12.tmp
<SYSTEM32>\CatRoot\TMP13.tmp
<SYSTEM32>\CatRoot\TMP14.tmp
%TEMP%\RGI3.tmp
%TEMP%\RGI4.tmp
%TEMP%\RGI5.tmp
%TEMP%\2772TQG3.bat
%TEMP%\RGI1.tmp
%TEMP%\RGI2.tmp
<SYSTEM32>\CatRoot\TMP9.tmp
<SYSTEM32>\CatRoot\TMPA.tmp
<SYSTEM32>\CatRoot\TMPB.tmp
<SYSTEM32>\CatRoot\TMP6.tmp
<SYSTEM32>\CatRoot\TMP7.tmp
<SYSTEM32>\CatRoot\TMP8.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\2772TQG3.bat

Удаляет следующие файлы:

<SYSTEM32>\CatRoot\TMPF.tmp
<SYSTEM32>\CatRoot\TMP10.tmp
<SYSTEM32>\CatRoot\TMPE.tmp
<SYSTEM32>\CatRoot\TMPC.tmp
<SYSTEM32>\CatRoot\TMPD.tmp
<SYSTEM32>\CatRoot\TMP11.tmp
<SYSTEM32>\CatRoot\TMP15.tmp
<SYSTEM32>\CatRoot\TMP16.tmp
<SYSTEM32>\CatRoot\TMP14.tmp
<SYSTEM32>\CatRoot\TMP12.tmp
<SYSTEM32>\CatRoot\TMP13.tmp
%TEMP%\RGI4.tmp
%TEMP%\RGI5.tmp
%TEMP%\RGI3.tmp
%TEMP%\RGI1.tmp
%TEMP%\RGI2.tmp
<SYSTEM32>\CatRoot\TMP7.tmp
<SYSTEM32>\CatRoot\TMPA.tmp
<SYSTEM32>\CatRoot\TMPB.tmp
<SYSTEM32>\CatRoot\TMP9.tmp
<SYSTEM32>\CatRoot\TMP6.tmp
<SYSTEM32>\CatRoot\TMP8.tmp

Перемещает следующие системные файлы:

<SYSTEM32>\CatRoot2\edbtmp.log в <SYSTEM32>\CatRoot2\edb.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001F.log
<SYSTEM32>\CatRoot2\edb00018.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb0000D.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00018.log

Перемещает следующие файлы:

<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00030.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002F.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00032.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00031.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002B.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00038.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00037.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00039.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00034.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00033.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00036.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00035.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00020.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00022.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00021.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001B.log
<SYSTEM32>\CatRoot2\edbtmp.log в <SYSTEM32>\CatRoot2\edb.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00028.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00027.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00029.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00024.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00023.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00026.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00025.log

Другое:

Добавляет корневой сертификат

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней