Trojan.MulDrop9.31626

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im "iexplore.exe" /t
'%WINDIR%\syswow64\taskkill.exe' /f /im "firefox.exe" /t

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut1a12.tmp
%TEMP%\aut6229.tmp
%ProgramFiles(x86)%\pdf shaper professional\unins000.dat
C:\users\public\desktop\pdf viewer.lnk
C:\users\public\desktop\pdf shaper professional.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\uninstall pdf shaper professional.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\pdf shaper professional on the web.url
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\help.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\pdf viewer.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\pdf shaper professional.lnk
%ProgramFiles(x86)%\pdf shaper professional\is-sbld6.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-p5aar.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-dijok.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-loihe.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-ppno8.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-so182.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-epnn2.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-uo544.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-dtkpc.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-jh0j9.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-00ien.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-9285f.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-mqsjr.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-vmt6p.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-3p04q.tmp
%TEMP%\is-tkp9m.tmp\_isetup\_setup64.tmp
%TEMP%\is-mft5g.tmp\~bqxoyvg.tmp
%TEMP%\~bqxoyvg.tmp
%TEMP%\aut1f43.tmp
%TEMP%\guzglkj
%ProgramFiles(x86)%\pdf shaper professional\shfolder.dll
%APPDATA%\burnaware\pdf shaper\pdfshaper.ini

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\~bqxoyvg.tmp

Удаляет следующие файлы

%TEMP%\aut1a12.tmp
%TEMP%\guzglkj
%TEMP%\aut1f43.tmp
%TEMP%\is-tkp9m.tmp\_isetup\_setup64.tmp
%TEMP%\is-mft5g.tmp\~bqxoyvg.tmp
%TEMP%\aut6229.tmp
%TEMP%\~bqxoyvg.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\pdf shaper professional\is-3p04q.tmp в %ProgramFiles(x86)%\pdf shaper professional\unins000.exe
%ProgramFiles(x86)%\pdf shaper professional\is-vmt6p.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdc32.dll
%ProgramFiles(x86)%\pdf shaper professional\is-mqsjr.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfview.dll
%ProgramFiles(x86)%\pdf shaper professional\is-9285f.tmp в %ProgramFiles(x86)%\pdf shaper professional\ssgp.dll
%ProgramFiles(x86)%\pdf shaper professional\is-00ien.tmp в %ProgramFiles(x86)%\pdf shaper professional\ter24.dll
%ProgramFiles(x86)%\pdf shaper professional\is-jh0j9.tmp в %ProgramFiles(x86)%\pdf shaper professional\txml2.dll
%ProgramFiles(x86)%\pdf shaper professional\is-dtkpc.tmp в %ProgramFiles(x86)%\pdf shaper professional\wpcc.dll
%ProgramFiles(x86)%\pdf shaper professional\is-uo544.tmp в %ProgramFiles(x86)%\pdf shaper professional\wps32.dll
%ProgramFiles(x86)%\pdf shaper professional\is-epnn2.tmp в %ProgramFiles(x86)%\pdf shaper professional\wrs8.dll
%ProgramFiles(x86)%\pdf shaper professional\is-so182.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfshaper.exe
%ProgramFiles(x86)%\pdf shaper professional\is-ppno8.tmp в %ProgramFiles(x86)%\pdf shaper professional\wordtopdf.exe
%ProgramFiles(x86)%\pdf shaper professional\is-loihe.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdftools.exe
%ProgramFiles(x86)%\pdf shaper professional\is-dijok.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfviewer.exe
%ProgramFiles(x86)%\pdf shaper professional\is-p5aar.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfshaper.dll
%ProgramFiles(x86)%\pdf shaper professional\is-sbld6.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfshaper.chm

Сетевая активность

UDP

DNS ASK pd###aper.com

Другое

Ищет следующие окна

ClassName: 'DDEMLMom' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'Static' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\~bqxoyvg.tmp' /verysilent /suppressmsgboxes /norestart /sp-
'%TEMP%\is-mft5g.tmp\~bqxoyvg.tmp' /SL5="$80216,8110053,189952,%TEMP%\~bqxoyvg.tmp" /verysilent /suppressmsgboxes /norestart /sp-
'%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im "iexplore.exe" /t' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im "firefox.exe" /t' (со скрытым окном)

Запускает на исполнение