Trojan.MulDrop9.28589

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'ImagePath' = '<DRIVERS>\etc\kaiyizhihua.exe -pfajiezangshenamtf'
[<HKLM>\SYSTEM\ControlSet002\Services\wscsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet002\Services\wscsvc] 'ImagePath' = '<DRIVERS>\etc\kaiyizhihua.exe -pfajiezangshenamtf'
[<HKLM>\SYSTEM\CurrentControlSet\Services\wscsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\CurrentControlSet\Services\wscsvc] 'ImagePath' = '<DRIVERS>\etc\kaiyizhihua.exe -pfajiezangshenamtf'

Вредоносные функции

Запускает на исполнение

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе

Создает следующие файлы

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Перемещает следующие файлы

Сетевая активность

Подключается к

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%WINDIR%\temp\file.VBE"
'%WINDIR%\temp\listen.exe' -pfajiezangshenamtf
'<SYSTEM32>\wscript.exe' "<DRIVERS>\etc\loadwait.vbe"
'%ProgramFiles%\internet explorer\wupdmgr.exe' file:///C:/WINDOWS/system32/drivers/etc/1771290.htm
'%WINDIR%\temp\listen.exe' -pfajiezangshenamtf' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im cmd.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im ntvdm.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im ping.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im vvisit.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im firefox.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im Privoxy.exe' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""<DRIVERS>\etc\loadboot.bat" "' (со скрытым окном)
'%ProgramFiles%\internet explorer\wupdmgr.exe' file:///C:/WINDOWS/system32/drivers/etc/1771290.htm' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""<DRIVERS>\etc\loadboot.bat" "
'<SYSTEM32>\cmd.exe' /c dir "C:\Documents and Settings\123456[1].txt" /s /a|findstr /i "Content.IE5"
'<SYSTEM32>\rundll32.exe' "%ProgramFiles%\Microsoft Office\Office12\GrooveUtil.DLL",GetResourceModulePath 8aDeWjHFfgRBsS61aUDvFByt6Gsx+N3+
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 5
'<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("""%ProgramFiles%\Internet Explorer\wupdmgr.exe"" file:///C:/WINDOWS/system32/drivers/etc/1771290.htm",0)(window.close)
'<SYSTEM32>\ping.exe' www.ba##u.com -n 5
'<SYSTEM32>\sc.exe' config KPfwSvc start= disabled
'<SYSTEM32>\sc.exe' config KISSvc start= disabled
'<SYSTEM32>\sc.exe' config kaccore start= disabled
'<SYSTEM32>\cmd.exe' /S /D /c" dir "C:\Documents and Settings\123456[1].txt" /s /a"
'<SYSTEM32>\sc.exe' config SharedAccess start= disabled
'<SYSTEM32>\net1.exe' stop KPfwSvc
'<SYSTEM32>\net1.exe' stop KISSvc
'<SYSTEM32>\net1.exe' stop kaccore
'<SYSTEM32>\net1.exe' stop SharedAccess
'<SYSTEM32>\attrib.exe' -r -s -h -a boot.reg
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
'<SYSTEM32>\attrib.exe' -r -s -h -a loadname.vbe
'%WINDIR%\regedit.exe' /s boot.reg
'<SYSTEM32>\sc.exe' config wscsvc start= auto
'<SYSTEM32>\findstr.exe' /i "Content.IE5"