Trojan.MulDrop8.60865

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Crypter' = '<Полный путь к файлу>'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\desktop.ini.rsrs

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

Читает файлы, отвечающие за хранение паролей сторонними программами:

%APPDATA%\Mozilla\Firefox\profiles.ini

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\_MEI28442\Crypto.Cipher._AES.pyd
<LS_APPDATA>\IconCache.db.rsrs
<LS_APPDATA>\GDIPFONTCACHEV1.DAT.rsrs
%HOMEPATH%\Local Settings\desktop.ini.rsrs
%HOMEPATH%\Favorites\Desktop.ini.rsrs
%HOMEPATH%\Cookies\index.dat.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.json.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js.rsrs
<LS_APPDATA>\Microsoft\Media Player\CurrentDatabase_59R.wmdb.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.json.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.dat.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.ini.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.ini.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html.rsrs
%APPDATA%\Mozilla\Firefox\profiles.ini.rsrs
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db.rsrs
%HOMEPATH%\Start Menu\desktop.ini.rsrs
%HOMEPATH%\Templates\wordpfct.wpd.rsrs
%HOMEPATH%\Local Settings\History\desktop.ini.rsrs
%HOMEPATH%\Templates\winword2.doc.rsrs
%HOMEPATH%\Templates\winword.doc.rsrs
%HOMEPATH%\Templates\sndrec.wav.rsrs
%HOMEPATH%\Templates\powerpnt.ppt.rsrs
%HOMEPATH%\Templates\excel4.xls.rsrs
%HOMEPATH%\Templates\excel.xls.rsrs
%HOMEPATH%\Start Menu\Programs\Accessories\Entertainment\desktop.ini.rsrs
%HOMEPATH%\Start Menu\Programs\Accessories\Accessibility\desktop.ini.rsrs
%HOMEPATH%\Start Menu\Programs\Accessories\desktop.ini.rsrs
%APPDATA%\Microsoft\Media Player\0007F0B7.wpl.rsrs
%HOMEPATH%\Start Menu\Programs\desktop.ini.rsrs
%HOMEPATH%\SendTo\desktop.ini.rsrs
%HOMEPATH%\Recent\Desktop.ini.rsrs
%HOMEPATH%\My Documents\My Pictures\Desktop.ini.rsrs
%HOMEPATH%\My Documents\My Music\Desktop.ini.rsrs
%HOMEPATH%\My Documents\desktop.ini.rsrs
%HOMEPATH%\Local Settings\<INETFILES>\desktop.ini.rsrs
%HOMEPATH%\Local Settings\History\History.IE5\MSHist012011111020111111\index.dat.rsrs
%HOMEPATH%\Local Settings\History\History.IE5\index.dat.rsrs
%HOMEPATH%\Local Settings\History\History.IE5\desktop.ini.rsrs
<LS_APPDATA>\Microsoft\Windows Media\9.0\WMSDKNS.XML.rsrs
<LS_APPDATA>\VMware\hgfs.dat.rsrs
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\desktop.ini.rsrs
%TEMP%\_MEI28442\win32file.pyd
%TEMP%\_MEI28442\unicodedata.pyd
%TEMP%\_MEI28442\select.pyd
%TEMP%\_MEI28442\pywintypes27.dll
%TEMP%\_MEI28442\python27.dll
%TEMP%\_MEI28442\pyexpat.pyd
%TEMP%\_MEI28442\msvcr90.dll
%TEMP%\_MEI28442\msvcp90.dll
%TEMP%\_MEI28442\msvcm90.dll
%TEMP%\_MEI28442\bz2.pyd
%TEMP%\_MEI28442\win32api.pyd
%TEMP%\_MEI28442\_ssl.pyd
%TEMP%\_MEI28442\_hashlib.pyd
%TEMP%\_MEI28442\Microsoft.VC90.CRT.manifest
%TEMP%\_MEI28442\Main.exe.manifest
%TEMP%\_MEI28442\Crypto.Util.strxor.pyd
%TEMP%\_MEI28442\Crypto.Util._counter.pyd
%TEMP%\_MEI28442\Crypto.Random.OSRNG.winrandom.pyd
%TEMP%\_MEI28442\Crypto.Hash._SHA256.pyd
%TEMP%\_MEI28442\Crypto.Cipher._DES3.pyd
%TEMP%\_MEI28442\Crypto.Cipher._DES.pyd
%TEMP%\_MEI28442\_socket.pyd
%TEMP%\_MEI28442\wxmsw30u_core_vc90.dll
%APPDATA%\Microsoft\Internet Explorer\brndlog.bak.rsrs
%TEMP%\_MEI28442\wx._controls_.pyd
%APPDATA%\desktop.ini.rsrs
%HOMEPATH%\ntuser.ini.rsrs
<Текущая директория>\key.txt
%TEMP%\_MEI28442\runtime.cfg
%TEMP%\_MEI28442\lock.ico
%TEMP%\_MEI28442\lock.bmp
%TEMP%\_MEI28442\bitcoin.bmp
%TEMP%\_MEI28442\Include\pyconfig.h
%TEMP%\_MEI28442\wxmsw30u_xrc_vc90.dll
%APPDATA%\Microsoft\Internet Explorer\brndlog.txt.rsrs
%TEMP%\_MEI28442\wxmsw30u_html_vc90.dll
%TEMP%\_MEI28442\wxmsw30u_adv_vc90.dll
%TEMP%\_MEI28442\wxbase30u_xml_vc90.dll
%TEMP%\_MEI28442\wxbase30u_vc90.dll
%TEMP%\_MEI28442\wxbase30u_net_vc90.dll
%TEMP%\_MEI28442\wx._xrc.pyd
%TEMP%\_MEI28442\wx._windows_.pyd
%TEMP%\_MEI28442\wx._misc_.pyd
%TEMP%\_MEI28442\wx._gdi_.pyd
%TEMP%\_MEI28442\wx._core_.pyd
%TEMP%\_MEI28442\win32event.pyd
%APPDATA%\encrypted_files.txt

Другое:

Создает и запускает на исполнение:

'<Полный путь к файлу>'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c "schtasks /create /tn updater47 /sc once /sd 01/01/1901 /tr "vssadmin Delete Shadows /All /Quiet" /st 00:00 /rl highest /ru SYSTEM /f"
'<SYSTEM32>\schtasks.exe' /create /tn updater47 /sc once /sd 01/01/1901 /tr "vssadmin Delete Shadows /All /Quiet" /st 00:00 /rl highest /ru SYSTEM /f
'<SYSTEM32>\cmd.exe' /c "schtasks /run /i /tn updater47"
'<SYSTEM32>\schtasks.exe' /run /i /tn updater47
'<SYSTEM32>\cmd.exe' /c "schtasks /delete /tn updater47 /f"
'<SYSTEM32>\schtasks.exe' /delete /tn updater47 /f