Trojan.MulDrop8.31797

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\HDZfile\shell\open\command] '' = '%TEMP%\7ZipSfx.000\HDSentinel.exe "%1"'

Вредоносные функции:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\7ZipSfx.000\HDsirena.mp3
%TEMP%\7ZipSfx.000\idpro.lng
%TEMP%\7ZipSfx.000\id.lng
%TEMP%\7ZipSfx.000\hupro.lng
%TEMP%\7ZipSfx.000\hu.lng
%TEMP%\7ZipSfx.000\grpro.lng
%TEMP%\7ZipSfx.000\gr.lng
%TEMP%\7ZipSfx.000\frpro.lng
%TEMP%\7ZipSfx.000\fr.lng
%TEMP%\7ZipSfx.000\fipro.lng
%TEMP%\7ZipSfx.000\fi.lng
%TEMP%\7ZipSfx.000\enpro.lng
%TEMP%\7ZipSfx.000\en.lng
%TEMP%\7ZipSfx.000\dupro.lng
%TEMP%\7ZipSfx.000\du.lng
%TEMP%\7ZipSfx.000\depro.lng
%TEMP%\7ZipSfx.000\de.lng
%TEMP%\7ZipSfx.000\dapro.lng
%TEMP%\7ZipSfx.000\da.lng
%TEMP%\7ZipSfx.000\czpro.lng
%TEMP%\7ZipSfx.000\cz.lng
%TEMP%\7ZipSfx.000\cnpro.lng
%TEMP%\7ZipSfx.000\cn.lng
%TEMP%\7ZipSfx.000\bgpro.lng
%TEMP%\7ZipSfx.000\bg.lng
%TEMP%\7ZipSfx.000\bepro.lng
%TEMP%\7ZipSfx.000\be.lng
%TEMP%\7ZipSfx.000\arpro.lng
%TEMP%\7ZipSfx.000\ar.lng
%TEMP%\7ZipSfx.000\Vista_Statusw.icd
%TEMP%\7ZipSfx.000\it.lng
%TEMP%\7ZipSfx.000\itpro.lng
%TEMP%\7ZipSfx.000\jp.lng
%TEMP%\7ZipSfx.000\jppro.lng
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_XXware_Xirtual_IDE_Hard_Drive_11000000000000000001_00000001.dat
%TEMP%\180722235907593.67837699.tmp
%TEMP%\7ZipSfx.000\ICMP.DLL
%TEMP%\7ZipSfx.000\hdsentinel.vsx
%TEMP%\7ZipSfx.000\hdsentinel.vsh
%TEMP%\7ZipSfx.000\HDSData\HDSentinel.sta
%TEMP%\7ZipSfx.000\HDSentinel.rdi
%TEMP%\7ZipSfx.000\ukpro.lng
%TEMP%\7ZipSfx.000\uk.lng
%TEMP%\7ZipSfx.000\twpro.lng
%TEMP%\7ZipSfx.000\tw.lng
%TEMP%\7ZipSfx.000\trpro.lng
%TEMP%\7ZipSfx.000\tr.lng
%TEMP%\7ZipSfx.000\swpro.lng
%TEMP%\7ZipSfx.000\sp.lng
%TEMP%\7ZipSfx.000\sw.lng
%TEMP%\7ZipSfx.000\skpro.lng
%TEMP%\7ZipSfx.000\sk.lng
%TEMP%\7ZipSfx.000\rupro.lng
%TEMP%\7ZipSfx.000\ru.lng
%TEMP%\7ZipSfx.000\ropro.lng
%TEMP%\7ZipSfx.000\ro.lng
%TEMP%\7ZipSfx.000\ptbrpro.lng
%TEMP%\7ZipSfx.000\ptbr.lng
%TEMP%\7ZipSfx.000\plpro.lng
%TEMP%\7ZipSfx.000\pl.lng
%TEMP%\7ZipSfx.000\mkpro.lng
%TEMP%\7ZipSfx.000\mk.lng
%TEMP%\7ZipSfx.000\kopro.lng
%TEMP%\7ZipSfx.000\ko.lng
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_XXware_Xirtual_IDE_Hard_Drive_11000000000000000001_00000001.hdi
%TEMP%\7ZipSfx.000\Vista_Statusn.icd
%TEMP%\7ZipSfx.000\Vista_Statusg.icd
%TEMP%\7ZipSfx.000\Vista_Statusb.icd
%TEMP%\7ZipSfx.000\detrd64.dll
%TEMP%\7ZipSfx.000\detrd.dll
%TEMP%\7ZipSfx.000\detrc.dll
%TEMP%\7ZipSfx.000\detp.dll
%TEMP%\7ZipSfx.000\detmv.dll
%TEMP%\7ZipSfx.000\detjm2.dll
%TEMP%\7ZipSfx.000\detjm.dll
%TEMP%\7ZipSfx.000\dethp2.dll
%TEMP%\7ZipSfx.000\dethp.dll
%TEMP%\7ZipSfx.000\detect.dll
%TEMP%\7ZipSfx.000\deta.dll
%TEMP%\7ZipSfx.000\bc_vbdll.dll
%TEMP%\7ZipSfx.000\afaapi.dll
%TEMP%\7ZipSfx.000\HDSentinelTray.exe
%TEMP%\7ZipSfx.000\HDSentinel.exe
%TEMP%\7ZipSfx.000\HDSCtrl.exe
%TEMP%\7ZipSfx.000\HDSAction.exe
%TEMP%\7ZipSfx.000\harddisksentinelupdate.exe
%TEMP%\7ZipSfx.000\HDSData\HDSentinel.ini
%TEMP%\7ZipSfx.000\HDSentinel.ini
%TEMP%\7ZipSfx.000\HDSData\winsched.txt
%TEMP%\7ZipSfx.000\HDSData\log.txt
%TEMP%\7ZipSfx.000\hdsversion.txt
%TEMP%\7ZipSfx.000\HDSData\DriveAddRemoveLog.txt
%TEMP%\7ZipSfx.000\removehds7.vbs
%TEMP%\7ZipSfx.000\Hdsentinel.key
%TEMP%\7ZipSfx.000\hdd.jpg
%TEMP%\7ZipSfx.000\ru.chm
%TEMP%\7ZipSfx.000\HDnotify.wav
%TEMP%\7ZipSfx.000\detw.dll
%TEMP%\7ZipSfx.000\detw64.dll
%TEMP%\7ZipSfx.000\fnp_act_installer.dll
%TEMP%\7ZipSfx.000\hdsevtmsg.dll
%TEMP%\7ZipSfx.000\Statusw.icd
%TEMP%\7ZipSfx.000\Statusn.icd
%TEMP%\7ZipSfx.000\Statusg.icd
%TEMP%\7ZipSfx.000\Statusb.icd
%TEMP%\7ZipSfx.000\Status.icd
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_WDC_WD1003FZEX-00MK2A0_WD-WCC3F2832286_01.01A01.hdi
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_PLEXTOR_PX-128M6Pro_P02441191242_1.05.hdi
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_WDC_WD1003FZEX-00MK2A0_WD-WCC3F2832286_01.01A01.hdd
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_PLEXTOR_PX-128M6Pro_P02441191242_1.05.hdd
%TEMP%\7ZipSfx.000\storelib2.dlz
%TEMP%\7ZipSfx.000\detpex.dlz
%TEMP%\7ZipSfx.000\HDSData\reg.dat
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_WDC_WD1003FZEX-00MK2A0_WD-WCC3F2832286_01.01A01.dat
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_PLEXTOR_PX-128M6Pro_P02441191242_1.05.dat
%TEMP%\7ZipSfx.000\HDSentinel.sys
%TEMP%\7ZipSfx.000\detect.dat
%TEMP%\7ZipSfx.000\storelibir.dll
%TEMP%\7ZipSfx.000\storelibir-2.dll
%TEMP%\7ZipSfx.000\storelib.dll
%TEMP%\7ZipSfx.000\storectrl.dll
%TEMP%\7ZipSfx.000\storarc.dll
%TEMP%\7ZipSfx.000\Storagetest.dll
%TEMP%\7ZipSfx.000\ssleay32.dll
%TEMP%\7ZipSfx.000\pri2plgnnapa.dll
%TEMP%\7ZipSfx.000\prerrlog.dll
%TEMP%\7ZipSfx.000\prdecode.dll
%TEMP%\7ZipSfx.000\mv_api.dll
%TEMP%\7ZipSfx.000\libxml2.dll
%TEMP%\7ZipSfx.000\libeay32.dll
%TEMP%\7ZipSfx.000\infomgr.dll
%TEMP%\7ZipSfx.000\Vista_Status.icd
%TEMP%\7ZipSfx.000\HDSData\DISKDATA_XXware_Xirtual_IDE_Hard_Drive_11000000000000000001_00000001.hdd

Удаляет следующие файлы:

%TEMP%\180722235907593.67837699.tmp

Другое:

Ищет следующие окна:

ClassName: 'Progman' WindowName: ''
ClassName: 'MS_WINHELP' WindowName: ''
ClassName: '' WindowName: 'Hard Disk Sentinel'

Создает и запускает на исполнение:

'%TEMP%\7ZipSfx.000\HDSentinel.exe'
'%TEMP%\7ZipSfx.000\detect.dll' *WMIC2* . "%TEMP%\180722235907593.67837699.tmp" SELECT Index,PNPDeviceID FROM Win32_DiskDrive

Запускает на исполнение: