Trojan.MulDrop.32595

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'UpdateWin' = '<SYSTEM32>\12520437j.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'UpdateWin' = '<SYSTEM32>\12520437j.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunServices] 'UpdateWin' = '<SYSTEM32>\12520437j.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UpdateWin' = '<SYSTEM32>\12520437j.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{020487CC-FC04-4B1E-863F-D9801796230B}' = 'Windows Installer Class'
[<HKCU>\Software\Microsoft\Internet Explorer\Desktop\Components\0] 'Source' = 'About:Home'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 'IPC Configuration Utility' = 'IPC Configuration Utility'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'odb' = '%WINDIR%\odb.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\ntos.exe,'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

блокирует:

Создает и запускает на исполнение:

Запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\60325cahp25ca2.exe
<SYSTEM32>\750234914.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\robo[1].php
%WINDIR%\odb.exe
<LS_APPDATA>\Microsoft\Wallpaper1.bmp
%TEMP%\136468
%TEMP%\137515
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\tds2[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\robo[1].php
%TEMP%\60325cahp25ca1.exe
%TEMP%\5_odb.exe
%TEMP%\6_ldr.exe
%TEMP%\3_baracudanew.exe
%TEMP%\1_dropper_286962.exe
%TEMP%\2_load.exe
<SYSTEM32>\ntos.exe
<SYSTEM32>\12520437j.exe
%APPDATA%\config.cfg
%TEMP%\wndutl32.dll
%APPDATA%\~tmp.html

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\tds2[1].php
%TEMP%\60325cahp25ca1.exe
%TEMP%\60325cahp25ca2.exe
%TEMP%\2_load.exe
%TEMP%\3_baracudanew.exe

Сетевая активность:

Подключается к: