Trojan.MulDrop7.2412

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Read Me Please' = 'mshta.exe "%HOMEPATH%\Read Me Please.hta"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'SG' = '%APPDATA%\trust.exe'

Заражает следующие исполняемые файлы:

C:\Far2\Plugins\arclite\wjm90DKBBxqjoRo.blackblock
C:\Far2\Plugins\arclite\wjm9t3qVDA0.blackblock
C:\Far2\Plugins\arclite\wjm90zqVDA0.blackblock
C:\Far2\Plugins\arclite\wjnQgTWO.blackblock
C:\Far2\Plugins\arclite\wjmpnTrAyRWo.blackblock

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\trust.exe'
'<Полный путь к файлу>'

Запускает на исполнение:

'<SYSTEM32>\mshta.exe' "%HOMEPATH%\Read Me Please.hta"
'<SYSTEM32>\mshta.exe' "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('C:\\DOCUME~1\\%USERNAME%\\APPLIC~1\\trust.exe');close()}catch(e){}},10);"
'<SYSTEM32>\mshta.exe' "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('C:\\bf32d3b0\\<Имя файла>.exe');close()}catch(e){}},10);"
'<SYSTEM32>\mshta.exe' "javascript:o=new ActiveXObject('WScript.Shell');setInterval(function(){try{o.RegWrite('HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\SG','C:\\DOCUME~1\\%USERNAME%\\APPLIC~1\\tru...

Внедряет код в

следующие пользовательские процессы:

trust.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\mshta.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\Far2\Plugins\MacroView\Read Me Please.hta
C:\Far2\Plugins\HlfViewer\Read Me Please.hta
C:\Far2\Plugins\FTP\lib\Read Me Please.hta
C:\Far2\Plugins\Network\Read Me Please.hta
C:\Far2\PluginSDK\Headers.c\Read Me Please.hta
C:\Far2\Plugins\TmpPanel\Read Me Please.hta
C:\Far2\Plugins\ProcList\Read Me Please.hta
C:\Far2\Plugins\ExtSearch\sources\Read Me Please.hta
C:\Far2\Plugins\ExtSearch\doc\Read Me Please.hta
C:\Far2\Plugins\EMenu\Read Me Please.hta
C:\Far2\Plugins\ExtSearch\sources\RegExp\Read Me Please.hta
C:\Far2\Plugins\FTP\Read Me Please.hta
C:\Far2\Plugins\FileCase\Read Me Please.hta
C:\Far2\Plugins\FarCmds\Read Me Please.hta
%HOMEPATH%\Desktop\Read Me Please.hta
%HOMEPATH%\Read Me Please.hta
<STUBS_DIR>\Read Me Please.hta
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\RGWIUD6L\desktop.ini
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\OLMRSTUR\desktop.ini
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\S94F69XR\desktop.ini
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\ODW94XGP\desktop.ini
<STUBS_DIR>\el_cli\Read Me Please.hta
<STUBS_DIR>\cbmain\Read Me Please.hta
C:\Far2\PluginSDK\Headers.pas\Read Me Please.hta
<STUBS_DIR>\GVOnline\Read Me Please.hta
<STUBS_DIR>\lin\Read Me Please.hta
<STUBS_DIR>\l2\Read Me Please.hta
<STUBS_DIR>\kb_cli\Read Me Please.hta
C:\Far2\Plugins\EditCase\Read Me Please.hta
C:\Documents and Settings\Default User\Local Settings\History\History.IE5\Read Me Please.hta
C:\Documents and Settings\Default User\Cookies\Read Me Please.hta
%HOMEPATH%\Templates\Read Me Please.hta
C:\Documents and Settings\Default User\Local Settings\<INETFILES>\Content.IE5\Read Me Please.hta
C:\Far2\Addons\Read Me Please.hta
C:\Documents and Settings\Default User\Templates\Read Me Please.hta
C:\Documents and Settings\Default User\Read Me Please.hta
%HOMEPATH%\Favorites\Links\Read Me Please.hta
%HOMEPATH%\Cookies\Read Me Please.hta
%APPDATA%\trust.exe
%HOMEPATH%\Favorites\Read Me Please.hta
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\Read Me Please.hta
%HOMEPATH%\Local Settings\History\History.IE5\MSHist012011111020111111\Read Me Please.hta
%HOMEPATH%\Local Settings\History\History.IE5\Read Me Please.hta
C:\Far2\Plugins\Colorer\hrc\auto\types\Read Me Please.hta
C:\Far2\Plugins\Colorer\Read Me Please.hta
C:\Far2\Plugins\Brackets\Read Me Please.hta
C:\Far2\Plugins\Colorer\hrc\Read Me Please.hta
C:\Far2\Plugins\DrawLine\Read Me Please.hta
C:\Far2\Plugins\Compare\Read Me Please.hta
C:\Far2\Plugins\Colorer\hrd\Read Me Please.hta
C:\Far2\Read Me Please.hta
C:\Far2\Documentation\rus\Read Me Please.hta
C:\Far2\Documentation\eng\Read Me Please.hta
C:\Far2\Plugins\7-Zip\Read Me Please.hta
C:\Far2\Plugins\AutoWrap\Read Me Please.hta
C:\Far2\Plugins\arclite\Read Me Please.hta
C:\Far2\Plugins\Align\Read Me Please.hta