Trojan.MulDrop7.53909

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'VistaSlave' = '"%ProgramFiles%\NetToolEnergyClient\vistaslave.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ST6UNST Uninstaller.LNK

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\EnergyClient] 'ImagePath' = '%ProgramFiles%\NetToolEnergyClient\nettoolenergyclient.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\EnergyClient] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\NetToolEnergyClient\VistaSlave.exe' = '%ProgramFiles%\N...
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\NetToolEnergyClient\NetToolEnergyClient.exe' = '%Progra...

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ProgramFiles%\NetToolEnergyClient\vistaslave.exe" "Nettool Energyx VistaSlave" enable
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ProgramFiles%\NetToolEnergyClient\nettoolenergyclient.exe" "Nettool Energyx Client" enable

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\msftqws.pdw\VB6STKIT.DLL
%WINDIR%\temp.000
%TEMP%\msftqws.pdw\st6unst.exe
%WINDIR%\Setup1.exe
<SYSTEM32>\temp.000
%TEMP%\msftqws.pdw\VB6DE.DLL
%WINDIR%\NetToolEnergyClient.CAB
%TEMP%\RarSFX0\SETUP.LST
%TEMP%\RarSFX0\setup.exu
%TEMP%\RarSFX0\NetToolEnergyClient.CAB
%WINDIR%\SETUP.LST
%WINDIR%\ST6UNST.000
%TEMP%\RarSFX0\energy.log.txt
%TEMP%\msftqws.pdw\VistaSlave.exe
%TEMP%\msftqws.pdw\advpack.dll
%TEMP%\msftqws.pdw\iphlpapi.dll
%TEMP%\msftqws.pdw\wlanapi.dll
%ProgramFiles%\NetToolEnergyClient\ST6UNST.LOG
%HOMEPATH%\Start Menu\Programs\NetTool\NetTool Energy-X Client.LNK
%TEMP%\msftqws.pdw\NetToolEnergyClient.exe
%TEMP%\msftqws.pdw\powrprof.dll
%TEMP%\msftqws.pdw\NtsvcX.ocx
%TEMP%\msftqws.pdw\StartService.exe
%ProgramFiles%\NetToolEnergyClient\temp.000
%TEMP%\msftqws.pdw\GetCoreTempInfo.dll
%TEMP%\msftqws.pdw\MSWINSCK.OCX
%TEMP%\msftqws.pdw\WINSKDE.DLL
%TEMP%\RarSFX0\Support\NetToolEnergyClient.exe
%TEMP%\RarSFX0\Support\NetToolEnergyClient.DDF
%TEMP%\RarSFX0\Support\NetToolEnergyClient.BAT
%TEMP%\RarSFX0\Support\OLEAUT32.DLL
%TEMP%\RarSFX0\Support\NtsvcX.ocx
%TEMP%\RarSFX0\Support\ntsvc.ocx
%TEMP%\RarSFX0\Support\mswinsck.ocx
%TEMP%\RarSFX0\Support\COMCAT.DLL
%TEMP%\RarSFX0\Support\ASYCFILT.DLL
%TEMP%\RarSFX0\Support\advpack.dll
%TEMP%\RarSFX0\Support\msvbvm60.dll
%TEMP%\RarSFX0\Support\iphlpapi.dll
%TEMP%\RarSFX0\Support\GetCoreTempInfo.dll
%TEMP%\RarSFX0\Support\OLEPRO32.DLL
%TEMP%\RarSFX0\Support\VistaSlave.exe
%TEMP%\RarSFX0\Support\VB6STKIT.DLL
%TEMP%\RarSFX0\Support\VB6DE.DLL
%TEMP%\RarSFX0\Install.exe
%TEMP%\RarSFX0\Support\wlanapi.dll
%TEMP%\RarSFX0\Support\WINSKDE.DLL
%TEMP%\RarSFX0\Support\STDOLE2.TLB
%TEMP%\RarSFX0\Support\Setup.Lst
%TEMP%\RarSFX0\Support\SETUP.EXE
%TEMP%\RarSFX0\Support\powrprof.dll
%TEMP%\RarSFX0\Support\StartService.exe
%TEMP%\RarSFX0\Support\ST6UNST.EXE
%TEMP%\RarSFX0\Support\SETUP1.EXE

Удаляет следующие файлы:

%TEMP%\msftqws.pdw\NetToolEnergyClient.exe
%WINDIR%\NetToolEnergyClient.CAB
%TEMP%\msftqws.pdw\advpack.dll
%TEMP%\msftqws.pdw\wlanapi.dll
%TEMP%\msftqws.pdw\iphlpapi.dll
%WINDIR%\SETUP.LST
%TEMP%\~DFD1B1.tmp
%TEMP%\~DFAF4.tmp
%TEMP%\msftqws.pdw\st6unst.exe
%WINDIR%\ST6UNST.000
%TEMP%\msftqws.pdw\VistaSlave.exe
%TEMP%\msftqws.pdw\StartService.exe
%HOMEPATH%\Start Menu\Programs\Startup\ST6UNST Uninstaller.LNK
%TEMP%\msftqws.pdw\VB6STKIT.DLL
%TEMP%\msftqws.pdw\VB6DE.DLL
%TEMP%\msftqws.pdw\GetCoreTempInfo.dll
%TEMP%\msftqws.pdw\powrprof.dll
%TEMP%\msftqws.pdw\MSWINSCK.OCX
%TEMP%\msftqws.pdw\NtsvcX.ocx
%TEMP%\msftqws.pdw\WINSKDE.DLL

Перемещает следующие файлы:

<SYSTEM32>\temp.000 в <SYSTEM32>\MSWINSCK.OCX
<SYSTEM32>\temp.000 в <SYSTEM32>\WINSKDE.DLL
<SYSTEM32>\temp.000 в <SYSTEM32>\NtsvcX.ocx
%ProgramFiles%\NetToolEnergyClient\temp.000 в %ProgramFiles%\NetToolEnergyClient\NetToolEnergyClient.exe
<SYSTEM32>\temp.000 в <SYSTEM32>\wlanapi.dll
<SYSTEM32>\temp.000 в <SYSTEM32>\GetCoreTempInfo.dll
<SYSTEM32>\temp.000 в <SYSTEM32>\VB6DE.DLL
<SYSTEM32>\temp.000 в <SYSTEM32>\VB6STKIT.DLL
%WINDIR%\temp.000 в %WINDIR%\ST6UNST.EXE
%ProgramFiles%\NetToolEnergyClient\temp.000 в %ProgramFiles%\NetToolEnergyClient\StartService.exe
%ProgramFiles%\NetToolEnergyClient\VistaSlave.exe в %ProgramFiles%\NetToolEnergyClient\VistaSlave.exe
%ProgramFiles%\NetToolEnergyClient\temp.000 в %ProgramFiles%\NetToolEnergyClient\VistaSlave.exe

Подменяет следующие файлы:

<SYSTEM32>\GetCoreTempInfo.dll
<SYSTEM32>\MSWINSCK.OCX
%ProgramFiles%\NetToolEnergyClient\NetToolEnergyClient.exe
<SYSTEM32>\wlanapi.dll
<SYSTEM32>\WINSKDE.DLL
%ProgramFiles%\NetToolEnergyClient\temp.000
<SYSTEM32>\temp.000
<SYSTEM32>\NtsvcX.ocx
%ProgramFiles%\NetToolEnergyClient\StartService.exe

Другое:

Ищет следующие окна:

ClassName: 'GVBSetupInit' WindowName: ''
ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение:

'%WINDIR%\Setup1.exe' /s "%TEMP%\RarSFX0\energy.log.txt" "%TEMP%\RarSFX0\" "%WINDIR%\ST6UNST.000" "%WINDIR%\st6unst.exe"
'%TEMP%\RarSFX0\setup.exu' /s %TEMP%\RarSFX0\energy.log.txt
'%TEMP%\RarSFX0\Install.exe'