Trojan.MulDrop7.63527

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Spotify' = '"%ProgramFiles%\FAMEH32\Spotify.exe"'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Media Manager Indexer' = '"%ProgramFiles%\avadmin\AIRSVCU.EXE"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Intel(R) Common User Interface' = '"%ProgramFiles%\NWService\igfxpers.exe"'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'BingDesktop' = '"%ProgramFiles%\Windows Sidebar\Gadgets\Calendar.Gadget\en-US\css\BingDesktop.exe"'

Создает или изменяет следующие файлы

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\mozilla\firefox\plugin-container.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\plugin-container.exe
%ProgramFiles%\fameh32\~ozuaqux.tmp
%ProgramFiles%\fameh32\spotify.exe
%ProgramFiles%\avadmin\~nnawwba.tmp
%ProgramFiles%\avadmin\airsvcu.exe
%ProgramFiles%\nwservice\~xjnefnv.tmp
%ProgramFiles%\nwservice\igfxpers.exe
%ProgramFiles%\windows sidebar\gadgets\calendar.gadget\en-us\css\~orprpqi.tmp
%ProgramFiles%\windows sidebar\gadgets\calendar.gadget\en-us\css\bingdesktop.exe
%ProgramFiles%\mpeng\~zluaoiz.tmp
%ProgramFiles%\mpeng\commh32.exe
%ProgramFiles%\firefox\chrome\en_us\locale\en_us\autoconfig\~auoumcj.tmp
%ProgramFiles%\firefox\chrome\en_us\locale\en_us\autoconfig\flashupd.exe

Удаляет следующие файлы

%APPDATA%\mozilla\firefox\plugin-container.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\plugin-container.exe
%ProgramFiles%\fameh32\~ozuaqux.tmp
%ProgramFiles%\fameh32\spotify.exe
%ProgramFiles%\avadmin\~nnawwba.tmp
%ProgramFiles%\avadmin\airsvcu.exe
%ProgramFiles%\nwservice\~xjnefnv.tmp
%ProgramFiles%\nwservice\igfxpers.exe
%ProgramFiles%\windows sidebar\gadgets\calendar.gadget\en-us\css\~orprpqi.tmp
%ProgramFiles%\windows sidebar\gadgets\calendar.gadget\en-us\css\bingdesktop.exe
%ProgramFiles%\mpeng\~zluaoiz.tmp
%ProgramFiles%\mpeng\commh32.exe
%ProgramFiles%\firefox\chrome\en_us\locale\en_us\autoconfig\~auoumcj.tmp
%ProgramFiles%\firefox\chrome\en_us\locale\en_us\autoconfig\flashupd.exe

Подменяет следующие файлы

%APPDATA%\mozilla\firefox\plugin-container.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\plugin-container.exe
%ProgramFiles%\fameh32\spotify.exe
%ProgramFiles%\avadmin\airsvcu.exe
%ProgramFiles%\nwservice\igfxpers.exe
%ProgramFiles%\windows sidebar\gadgets\calendar.gadget\en-us\css\bingdesktop.exe
%ProgramFiles%\mpeng\commh32.exe
%ProgramFiles%\firefox\chrome\en_us\locale\en_us\autoconfig\flashupd.exe

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /C DIR /A:D /S /B *' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 21 /TN "Spotify" /TR "\"%ProgramFiles%\FAMEH32\Spotify.exe\""' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 9 /TN "Media Manager Indexer" /TR "\"%ProgramFiles%\avadmin\AIRSVCU.EXE\""' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 28 /TN "Intel(R) Common User Interface" /TR "\"%ProgramFiles%\NWService\igfxpers.exe\""' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 27 /TN "BingDesktop" /TR "\"%ProgramFiles%\Windows Sidebar\Gadgets\Calendar.Gadget\en-US\css\BingDesktop.exe\""' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /F /SC ONLOGON /TN "Comm Driver" /TR "\"%ProgramFiles%\MpEng\commh32.exe\""' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 24 /TN "Spotify" /TR "\"%ProgramFiles%\FAMEH32\Spotify.exe\""' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C DIR /A:D /S /B *
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 21 /TN "Spotify" /TR "\"%ProgramFiles%\FAMEH32\Spotify.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 9 /TN "Media Manager Indexer" /TR "\"%ProgramFiles%\avadmin\AIRSVCU.EXE\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 28 /TN "Intel(R) Common User Interface" /TR "\"%ProgramFiles%\NWService\igfxpers.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 27 /TN "BingDesktop" /TR "\"%ProgramFiles%\Windows Sidebar\Gadgets\Calendar.Gadget\en-US\css\BingDesktop.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /SC ONLOGON /TN "Comm Driver" /TR "\"%ProgramFiles%\MpEng\commh32.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 24 /TN "Spotify" /TR "\"%ProgramFiles%\FAMEH32\Spotify.exe\""