Trojan.MulDrop4.2643

Добавлен в вирусную базу Dr.Web: 2012-09-22

Описание добавлено: 2012-10-13

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\P7SFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenPKCS7 %1'
[<HKLM>\SOFTWARE\Classes\SPCFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenPKCS7 %1'
[<HKLM>\SOFTWARE\Classes\CertificateStoreFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenSTR %1'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet] 'DllName' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt32chain] 'DllName' = ''
[<HKLM>\SOFTWARE\Classes\CATFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCAT %1'
[<HKLM>\SOFTWARE\Classes\CERFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCER %1'
[<HKLM>\SOFTWARE\Classes\STLFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCTL %1'
[<HKLM>\SOFTWARE\Classes\P7RFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenP7R %1'
[<HKLM>\SOFTWARE\Classes\CRLFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCRL %1'

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\regsvr32.exe sccbase.dll /s
<SYSTEM32>\regsvr32.exe gpkcsp.dll /s
<SYSTEM32>\regsvr32.exe slbcsp.dll /s
<SYSTEM32>\regsvr32.exe cryptdlg.dll /s
<SYSTEM32>\regsvr32.exe mssip32.dll /s
<SYSTEM32>\regsvr32.exe wintrust.dll /s
<SYSTEM32>\regsvr32.exe softpub.dll /s
<SYSTEM32>\regsvr32.exe initpki.dll /s
<SYSTEM32>\regsvr32.exe rsaenh.dll /s
<SYSTEM32>\regsvr32.exe dssenh.dll /s

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\CatRoot\TMP12.tmp
<SYSTEM32>\CatRoot\TMP13.tmp
<SYSTEM32>\CatRoot\TMP14.tmp
<SYSTEM32>\CatRoot\TMP11.tmp
<SYSTEM32>\CatRoot\TMPE.tmp
<SYSTEM32>\CatRoot\TMPF.tmp
<SYSTEM32>\CatRoot\TMP10.tmp
<SYSTEM32>\CatRoot\TMP19.tmp
<SYSTEM32>\CatRoot\TMP1A.tmp
<SYSTEM32>\CatRoot\TMP1B.tmp
<SYSTEM32>\CatRoot\TMP18.tmp
<SYSTEM32>\CatRoot\TMP15.tmp
<SYSTEM32>\CatRoot\TMP16.tmp
<SYSTEM32>\CatRoot\TMP17.tmp
<SYSTEM32>\CatRoot\TMP4.tmp
<SYSTEM32>\CatRoot\TMP5.tmp
<SYSTEM32>\CatRoot\TMP6.tmp
<SYSTEM32>\CatRoot\TMP3.tmp
%TEMP%\bt14876.bat
<SYSTEM32>\CatRoot\TMP1.tmp
<SYSTEM32>\CatRoot\TMP2.tmp
<SYSTEM32>\CatRoot\TMPB.tmp
<SYSTEM32>\CatRoot\TMPC.tmp
<SYSTEM32>\CatRoot\TMPD.tmp
<SYSTEM32>\CatRoot\TMPA.tmp
<SYSTEM32>\CatRoot\TMP7.tmp
<SYSTEM32>\CatRoot\TMP8.tmp
<SYSTEM32>\CatRoot\TMP9.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\bt14876.bat

Удаляет следующие файлы:

<SYSTEM32>\CatRoot\TMP12.tmp
<SYSTEM32>\CatRoot\TMP13.tmp
<SYSTEM32>\CatRoot\TMP14.tmp
<SYSTEM32>\CatRoot\TMPF.tmp
<SYSTEM32>\CatRoot\TMP10.tmp
<SYSTEM32>\CatRoot\TMP11.tmp
<SYSTEM32>\CatRoot\TMP15.tmp
<SYSTEM32>\CatRoot\TMP19.tmp
<SYSTEM32>\CatRoot\TMP1A.tmp
<SYSTEM32>\CatRoot\TMP1B.tmp
<SYSTEM32>\CatRoot\TMP16.tmp
<SYSTEM32>\CatRoot\TMP17.tmp
<SYSTEM32>\CatRoot\TMP18.tmp
<SYSTEM32>\CatRoot\TMPE.tmp
<SYSTEM32>\CatRoot\TMP4.tmp
<SYSTEM32>\CatRoot\TMP5.tmp
<SYSTEM32>\CatRoot\TMP6.tmp
<SYSTEM32>\CatRoot\TMP2.tmp
<SYSTEM32>\CatRoot\TMP1.tmp
<SYSTEM32>\CatRoot\TMP3.tmp
<SYSTEM32>\CatRoot\TMP7.tmp
<SYSTEM32>\CatRoot\TMPB.tmp
<SYSTEM32>\CatRoot\TMPC.tmp
<SYSTEM32>\CatRoot\TMPD.tmp
<SYSTEM32>\CatRoot\TMP8.tmp
<SYSTEM32>\CatRoot\TMP9.tmp
<SYSTEM32>\CatRoot\TMPA.tmp

Перемещает следующие системные файлы:

<SYSTEM32>\CatRoot2\edbtmp.log в <SYSTEM32>\CatRoot2\edb.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00026.log
<SYSTEM32>\CatRoot2\edb00018.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb0000D.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00018.log

Перемещает следующие файлы:

<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003B.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003F.log
<SYSTEM32>\CatRoot2\edb0001C.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00037.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00036.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00035.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0003A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00039.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00038.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00040.log
<SYSTEM32>\CatRoot2\edb0003C.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00047.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00046.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0004A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00049.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00048.log
<SYSTEM32>\CatRoot2\edb00039.log в <SYSTEM32>\CatRoot2\edbtmp.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00042.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00041.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00045.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00044.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00043.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00022.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00021.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00020.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00025.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00024.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00023.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001C.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001B.log
<SYSTEM32>\CatRoot2\edbtmp.log в <SYSTEM32>\CatRoot2\edb.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001F.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0001D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00028.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00031.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00030.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002F.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00034.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00033.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00032.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002B.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002A.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb00029.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002E.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002D.log
<SYSTEM32>\CatRoot2\edb.log в <SYSTEM32>\CatRoot2\edb0002C.log

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней