Trojan.MulDrop8.31821

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\VOS\PingPlotterPro<HKLM>\SOFTWARE\Classes\Pingman Tools.PingPlotter 5.pp2\shell\open\command] '' = '"C:\PingPlotter 5\PingPlotter.exe" "%1"'
[<HKCU>\Software\VOS\PingPlotterPro<HKLM>\SOFTWARE\Classes\Pingman Tools.PingPlotter 5.ppws\shell\open\command] '' = '"C:\PingPlotter 5\PingPlotter.exe" "%1"'
[<HKCU>\Software\VOS\PingPlotterPro<HKLM>\SOFTWARE\Classes\pingplotter\shell\open\command] '' = '"C:\PingPlotter 5\PingPlotter.exe" /url "%1"'

Вредоносные функции:

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\route.exe
<SYSTEM32>\find.exe

следующие пользовательские процессы:

PingPlotterPro.exe
PingPlotter.exe

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\PingPlotterPro 5.5.12\VirtApp.ini
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\CryptCheck.dat
<Текущая директория>\PingPlotterPro 5.5.12\PROG\C_\PingPlotter 5\PingPlotterPro.exe
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2896.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\%Temp%\~ppSave1.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\%Temp%\~ppSave3.tmp
<Текущая директория>\PingPlotterPro 5.5.12\PROG\C_\PingPlotter 5\PingPlotterPro.ini
<Текущая директория>\PingPlotterPro 5.5.12\VirtFiles.Prog.db
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2924.tmp
<Текущая директория>\PingPlotterPro 5.5.12\PROG\C_\PingPlotter 5\PingPlotter.exe.Config
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2944.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2936.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2952.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2960.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.3036.tmp
<Текущая директория>\PingPlotterPro 5.5.12\ZipCache
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\ZipCache.20180623-084035.769.stamp
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\DiskModeDeploy.marker
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2884.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtReg.Base.dat
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\AppVirtDll_PingPlotterPro.dll.20180623-084035.769.stamp
<Текущая директория>\PingPlotterPro 5.5.12\AppVirtDll64_PingPlotterPro.dll
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\AppVirtDll64_PingPlotterPro.dll.20180623-084035.769.stamp
<Текущая директория>\PingPlotterPro 5.5.12\PingPlotterPro.exe
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\PingPlotterPro.exe.20180623-084035.769.stamp
<Текущая директория>\PingPlotterPro 5.5.12\PingPlotterPro64.exe
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.3044.tmp
<Текущая директория>\PingPlotterPro 5.5.12\PROG\C_\PingPlotter 5\PingPlotter.exe
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\PingPlotterPro64.exe.20180623-084035.769.stamp
<Текущая директория>\PingPlotterPro 5.5.12\SandboxCfg.db
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\SandboxCfg.db.20180623-093356.124.stamp
<Текущая директория>\PingPlotterPro 5.5.12\VirtReg.Prog.dat
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\VirtReg.Prog.dat.20180623-152044.659.stamp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtReg.dat
<Текущая директория>\PingPlotterPro 5.5.12\AppVirtDll_PingPlotterPro.dll
<Текущая директория>\PingPlotterPro 5.5.12\EngineStamps\VirtFiles.Prog.db.20180623-152044.691.stamp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.3108.tmp

Удаляет следующие файлы:

<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\%Temp%\~ppSave1.tmp
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\%Temp%\~ppSave3.tmp

Подменяет следующие файлы:

<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db
<Текущая директория>\PingPlotterPro 5.5.12\CHANGES\VirtFiles.db.2884.tmp

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'GFXSVR'

Создает и запускает на исполнение:

'<Текущая директория>\PingPlotterPro 5.5.12\PROG\C_\PingPlotter 5\PingPlotterPro.exe'
'<Текущая директория>\PingPlotterPro 5.5.12\PROG\C_\PingPlotter 5\PingPlotter.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c "for /f "tokens=3" %g in ('route print ^| find " 0.0.0.0"') do (for /f "tokens=1-3 delims=." %a in ("%g") do (route -p add 216.92.151.75 %a.%b.%c.0 && route -p add 216.92.150.222 %a.%b.%c.0)...
'<SYSTEM32>\cmd.exe' /c route print | find " 0.0.0.0"
'<SYSTEM32>\route.exe' print
'<SYSTEM32>\find.exe' " 0.0.0.0"
'<SYSTEM32>\cmd.exe' /c "route delete 216.92.151.75 && route delete 216.92.150.222 && exit"
'<SYSTEM32>\route.exe' delete 216.92.151.75
'<SYSTEM32>\route.exe' delete 216.92.150.222