Trojan.MulDrop8.34916

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Start Menu' = '"%ProgramFiles%\Open-Shell\StartMenu.exe" -autorun'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\OpenShell_4.4.128.exe
%ProgramFiles%\Open-Shell\Skins\is-1L9DM.tmp
%ProgramFiles%\Open-Shell\Skins\is-77BVL.tmp
%ProgramFiles%\Open-Shell\Skins\is-BOOEL.tmp
%ProgramFiles%\Open-Shell\Skins\is-MVT3T.tmp
%ProgramFiles%\Open-Shell\Skins\is-A6S1F.tmp
%ProgramFiles%\Open-Shell\Skins\is-0L4LF.tmp
%ProgramFiles%\Open-Shell\Skins\is-RQ9RV.tmp
%ProgramFiles%\Open-Shell\is-0Q3J7.tmp
%ProgramFiles%\Open-Shell\Skins\is-48L0Q.tmp
%ProgramFiles%\Open-Shell\Skins\is-SPVL7.tmp
<SYSTEM32>\is-I4R8H.tmp
%ProgramFiles%\Open-Shell\is-9LDBA.tmp
%ProgramFiles%\Open-Shell\is-DLO4F.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\Open-Shell.lnk
%ProgramFiles%\Open-Shell\Skins\is-FFHHB.tmp
%ProgramFiles%\Open-Shell\Skins\is-UJOD4.tmp
%ProgramFiles%\Open-Shell\Skins\is-409RU.tmp
%ProgramFiles%\Open-Shell\Skins\is-G360O.tmp
%ProgramFiles%\Open-Shell\Skins\is-DDDMI.tmp
%ProgramFiles%\Open-Shell\is-5RGJI.tmp
%ProgramFiles%\Open-Shell\is-1HJMK.tmp
%ProgramFiles%\Open-Shell\is-Q919S.tmp
%ProgramFiles%\Open-Shell\is-L569P.tmp
%ProgramFiles%\Open-Shell\Skins\is-ITTQR.tmp
%ProgramFiles%\Open-Shell\is-3I1VV.tmp
%TEMP%\is-5SBCB.tmp\Logo.bmp
%TEMP%\is-5SBCB.tmp\Windows10Dark.vsf
%TEMP%\is-5SBCB.tmp\VclStylesInno.dll
%TEMP%\is-M6O2M.tmp\OpenShell_4.4.128.tmp
%TEMP%\RarSFX0\Copy-Settings_OpenShell_DE-IT.cmd
%TEMP%\RarSFX0\Menu_Settings_mod.xml
%ProgramFiles%\Open-Shell\unins000.dat
%ProgramFiles%\Open-Shell\Menu_Settings.xml

Присваивает атрибут 'скрытый' для следующих файлов:

%ProgramFiles%\Open-Shell\Desktop.ini
%ProgramFiles%\Open-Shell\ClassicShell.ico

Удаляет следующие файлы:

%TEMP%\is-5SBCB.tmp\Logo.bmp
%TEMP%\is-5SBCB.tmp\VclStylesInno.dll
%TEMP%\is-5SBCB.tmp\Windows10Dark.vsf
%TEMP%\is-M6O2M.tmp\OpenShell_4.4.128.tmp

Перемещает следующие файлы:

%ProgramFiles%\Open-Shell\is-3I1VV.tmp в %ProgramFiles%\Open-Shell\unins000.exe
<SYSTEM32>\is-I4R8H.tmp в <SYSTEM32>\StartMenuHelper32.dll
%ProgramFiles%\Open-Shell\Skins\is-SPVL7.tmp в %ProgramFiles%\Open-Shell\Skins\Windows XP Luna.skin
%ProgramFiles%\Open-Shell\Skins\is-48L0Q.tmp в %ProgramFiles%\Open-Shell\Skins\Windows Basic.skin
%ProgramFiles%\Open-Shell\Skins\is-RQ9RV.tmp в %ProgramFiles%\Open-Shell\Skins\Windows Aero.skin7
%ProgramFiles%\Open-Shell\Skins\is-ITTQR.tmp в %ProgramFiles%\Open-Shell\Skins\Windows Aero.skin
%ProgramFiles%\Open-Shell\Skins\is-0L4LF.tmp в %ProgramFiles%\Open-Shell\Skins\Windows 8.skin7
%ProgramFiles%\Open-Shell\Skins\is-A6S1F.tmp в %ProgramFiles%\Open-Shell\Skins\Windows 8.skin
%ProgramFiles%\Open-Shell\Skins\is-MVT3T.tmp в %ProgramFiles%\Open-Shell\Skins\Smoked Glass.skin
%ProgramFiles%\Open-Shell\Skins\is-BOOEL.tmp в %ProgramFiles%\Open-Shell\Skins\Midnight.skin7
%ProgramFiles%\Open-Shell\Skins\is-77BVL.tmp в %ProgramFiles%\Open-Shell\Skins\Metro.skin7
%ProgramFiles%\Open-Shell\Skins\is-1L9DM.tmp в %ProgramFiles%\Open-Shell\Skins\Metro.skin
%ProgramFiles%\Open-Shell\Skins\is-FFHHB.tmp в %ProgramFiles%\Open-Shell\Skins\Metallic.skin7
%ProgramFiles%\Open-Shell\Skins\is-UJOD4.tmp в %ProgramFiles%\Open-Shell\Skins\Full Glass.skin
%ProgramFiles%\Open-Shell\Skins\is-409RU.tmp в %ProgramFiles%\Open-Shell\Skins\Dark.skin7
%ProgramFiles%\Open-Shell\Skins\is-G360O.tmp в %ProgramFiles%\Open-Shell\Skins\Classic Skin.skin7
%ProgramFiles%\Open-Shell\Skins\is-DDDMI.tmp в %ProgramFiles%\Open-Shell\Skins\Classic Skin.skin
%ProgramFiles%\Open-Shell\is-5RGJI.tmp в %ProgramFiles%\Open-Shell\StartMenuL10N.ini
%ProgramFiles%\Open-Shell\is-1HJMK.tmp в %ProgramFiles%\Open-Shell\StartMenuHelperL10N.ini
%ProgramFiles%\Open-Shell\is-Q919S.tmp в %ProgramFiles%\Open-Shell\de-DE.dll
%ProgramFiles%\Open-Shell\is-L569P.tmp в %ProgramFiles%\Open-Shell\ClassicShell.ico
%ProgramFiles%\Open-Shell\is-0Q3J7.tmp в %ProgramFiles%\Open-Shell\Desktop.ini
%ProgramFiles%\Open-Shell\is-9LDBA.tmp в %ProgramFiles%\Open-Shell\StartMenu.exe
%ProgramFiles%\Open-Shell\is-DLO4F.tmp в %ProgramFiles%\Open-Shell\StartMenuDLL.dll

Другое:

Ищет следующие окна:

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\RarSFX0\OpenShell_4.4.128.exe' /VERYSILENT /LANG=de
'%TEMP%\is-M6O2M.tmp\OpenShell_4.4.128.tmp' /SL5="$2010A,3427467,205312,%TEMP%\RarSFX0\OpenShell_4.4.128.exe" /VERYSILENT /LANG=de

Запускает на исполнение: