Trojan.MulDrop7.33835

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\wscript.exe' /B /E:VBS "<SYSTEM32>\spool\DRIVERS\W32X86\3\ACFPDF.TXT" "Aquire OrgPublisher PDF"

Запускает на исполнение:

'<SYSTEM32>\oppdf.exe'
'%TEMP%\GLB1.tmp' 4736 <Полный путь к файлу>

Изменения в файловой системе:

Создает следующие файлы:

C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SOFTWARE
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SECURITY
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SYSTEM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\ComDb.Dat
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SAM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_.DEFAULT
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\domain.txt
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.DATA
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING2.MAP
<SYSTEM32>\spool\drivers\w32x86\3\New\acpdf300.dll
<SYSTEM32>\spool\drivers\w32x86\3\New\acpdfui300.dll
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.BTR
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\$WinMgmt.CFG
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING1.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING.VER
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
<SYSTEM32>\~GLH0001.TMP
<SYSTEM32>\temp.000
<SYSTEM32>\~GLH0002.TMP
<SYSTEM32>\~GLH0006.TMP
<SYSTEM32>\~GLH0004.TMP
%TEMP%\GLC2.tmp
%TEMP%\GLB1.tmp
%TEMP%\GLK3.tmp
<SYSTEM32>\~GLH0000.TMP
%TEMP%\GLG5.tmp
<SYSTEM32>\~GLH0008.TMP
<SYSTEM32>\spool\drivers\w32x86\acfpdf.txt
<SYSTEM32>\spool\drivers\w32x86\3\acfpdf.txt
<SYSTEM32>\spool\drivers\w32x86\cdintf300.dll
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
<SYSTEM32>\~GLH000c.TMP
<SYSTEM32>\~GLH000a.TMP
<SYSTEM32>\~GLH000e.TMP
<SYSTEM32>\spool\drivers\w32x86\acpdfui300.dll
<SYSTEM32>\spool\drivers\w32x86\acpdf300.dll

Удаляет следующие файлы:

<SYSTEM32>\~GLH0008.TMP
<SYSTEM32>\~GLH000a.TMP
<SYSTEM32>\~GLH000c.TMP
<SYSTEM32>\~GLH0006.TMP
<SYSTEM32>\~GLH0000.TMP
<SYSTEM32>\~GLH0002.TMP
<SYSTEM32>\~GLH0004.TMP

Перемещает следующие файлы:

<SYSTEM32>\~GLH000b.TMP в <SYSTEM32>\Cdintf300.dll
<SYSTEM32>\temp.000 в <SYSTEM32>\~GLH000d.TMP
<SYSTEM32>\~GLH0009.TMP в <SYSTEM32>\Acfpdfui.dll
<SYSTEM32>\temp.000 в <SYSTEM32>\~GLH000b.TMP
<SYSTEM32>\spool\drivers\w32x86\3\New\acpdf300.dll в <SYSTEM32>\spool\drivers\w32x86\3\acpdf300.dll
<SYSTEM32>\spool\drivers\w32x86\3\New\acpdfui300.dll в <SYSTEM32>\spool\drivers\w32x86\3\acpdfui300.dll
<SYSTEM32>\~GLH000d.TMP в <SYSTEM32>\Cdintf.dll
<SYSTEM32>\~GLH000e.TMP в <SYSTEM32>\oppdf.exe
<SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0009.TMP
<SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0003.TMP
<SYSTEM32>\~GLH0003.TMP в <SYSTEM32>\Acfpdfu.dll
<SYSTEM32>\temp.000 в <SYSTEM32>\Acfpdf.drv
<SYSTEM32>\~GLH0001.TMP в <SYSTEM32>\Acfpdf.txt
<SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0007.TMP
<SYSTEM32>\~GLH0007.TMP в <SYSTEM32>\Acfpdfuiamd64.dll
<SYSTEM32>\temp.000 в <SYSTEM32>\~GLH0005.TMP
<SYSTEM32>\~GLH0005.TMP в <SYSTEM32>\Acfpdfuamd64.dll