Trojan.MulDrop9.31883

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Редактора реестра (RegEdit)

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\backup.exe
%WINDIR%\addins\backup.exe
%ALLUSERSPROFILE%\favorites\data.exe
%ProgramFiles%\a2cmd\update.exe
%ALLUSERSPROFILE%\documents\backup.exe
%ProgramFiles%\360tray\backup.exe
%ALLUSERSPROFILE%\desktop\backup.exe
%HOMEPATH%\backup.exe
%ProgramFiles%\a2guard\backup.exe
%WINDIR%\backup.exe
%ALLUSERSPROFILE%\backup.exe
<PATH_SAMPLE>.zip
C:\documents and settings\system restore.exe
C:\backup.exe
<PATH_SAMPLE>.dat
<Текущая директория>\hxa03976
<Текущая директория>\temp.zip
%ProgramFiles%\backup.exe
%HOMEPATH%\cookies\backup.exe

Присваивает атрибут 'скрытый' для следующих файлов

<Текущая директория>\temp.zip
<PATH_SAMPLE>.zip

Удаляет следующие файлы

<Текущая директория>\temp.zip
<PATH_SAMPLE>.dat

Подменяет следующие файлы

<Текущая директория>\temp.zip

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''
ClassName: 'CabinetWClass' WindowName: ''
ClassName: 'ExploreWClass' WindowName: ''

Создает и запускает на исполнение

'C:\backup.exe' \
'%HOMEPATH%\backup.exe' %HOMEPATH%\
'%ALLUSERSPROFILE%\documents\backup.exe' %ALLUSERSPROFILE%\Documents\
'%WINDIR%\addins\backup.exe' %WINDIR%\addins\
'%ALLUSERSPROFILE%\desktop\backup.exe' %ALLUSERSPROFILE%\Desktop\
'%ProgramFiles%\a2guard\backup.exe' %ProgramFiles%\a2guard\
'%ProgramFiles%\backup.exe' %ProgramFiles%\
'%ProgramFiles%\360tray\backup.exe' %ProgramFiles%\360tray\
'%ALLUSERSPROFILE%\favorites\data.exe' %ALLUSERSPROFILE%\Favorites\
'%HOMEPATH%\cookies\backup.exe' %HOMEPATH%\Cookies\
'%ALLUSERSPROFILE%\backup.exe' %ALLUSERSPROFILE%\
'C:\documents and settings\system restore.exe' C:\Documents and Settings\
'%WINDIR%\backup.exe' %WINDIR%\
'%ProgramFiles%\a2cmd\update.exe' %ProgramFiles%\a2cmd\
'%ProgramFiles%\360tray\backup.exe' %ProgramFiles%\360tray\' (со скрытым окном)
'%HOMEPATH%\cookies\backup.exe' %HOMEPATH%\Cookies\' (со скрытым окном)
'%ProgramFiles%\a2cmd\update.exe' %ProgramFiles%\a2cmd\' (со скрытым окном)
'%ALLUSERSPROFILE%\start menu\backup.exe' %ALLUSERSPROFILE%\Start Menu\' (со скрытым окном)
'%HOMEPATH%\desktop\backup.exe' %HOMEPATH%\Desktop\' (со скрытым окном)
'%ALLUSERSPROFILE%\favorites\data.exe' %ALLUSERSPROFILE%\Favorites\' (со скрытым окном)
'%ProgramFiles%\a2guard\backup.exe' %ProgramFiles%\a2guard\' (со скрытым окном)
'%WINDIR%\addins\backup.exe' %WINDIR%\addins\' (со скрытым окном)
'C:\backup.exe' \' (со скрытым окном)
'%HOMEPATH%\backup.exe' %HOMEPATH%\' (со скрытым окном)
'%WINDIR%\backup.exe' %WINDIR%\' (со скрытым окном)
'%ProgramFiles%\backup.exe' %ProgramFiles%\' (со скрытым окном)
'%ALLUSERSPROFILE%\backup.exe' %ALLUSERSPROFILE%\' (со скрытым окном)
'C:\documents and settings\system restore.exe' C:\Documents and Settings\' (со скрытым окном)
'%ALLUSERSPROFILE%\documents\backup.exe' %ALLUSERSPROFILE%\Documents\' (со скрытым окном)
'%ALLUSERSPROFILE%\desktop\backup.exe' %ALLUSERSPROFILE%\Desktop\' (со скрытым окном)
'%ProgramFiles%\a2hijackfree\backup.exe' %ProgramFiles%\a2HiJackFree\' (со скрытым окном)
'%WINDIR%\apppatch\backup.exe' %WINDIR%\AppPatch\' (со скрытым окном)