Trojan.MulDrop3.42114

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'IntellRaidConfigurer' = '%PROGRAM_FILES%\WinApps\cmss.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Создает и запускает на исполнение:

%TEMP%\Compress0\java.exe
%TEMP%\Compress0\routerlink.exe

Запускает на исполнение:

<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\WinApps\RDS.exe" "RDS.exe" ENABLE
<SYSTEM32>\cacls.exe %PROGRAM_FILES%\WinApps /G Everyone:f
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="RDS.exe" dir=in action=allow program="%PROGRAM_FILES%\WinApps\RDS.exe" enable=yes
<SYSTEM32>\cacls.exe %PROGRAM_FILES%\Accessories\Common /G Everyone:f
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="RDS.exe" dir=in action=allow program="%PROGRAM_FILES%\WinApps\RDS.exe" enable=yes profile=public
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="cmss.exe" dir=in action=allow program="%PROGRAM_FILES%\WinApps\cmss.exe" enable=yes profile=public
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="dlink.exe" dir=in action=allow program="%PROGRAM_FILES%\WinApps\dlink.exe" enable=yes
<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\WinApps\dlink.exe" "dlink.exe" ENABLE
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="dlink.exe" dir=in action=allow program="%PROGRAM_FILES%\WinApps\dlink.exe" enable=yes profile=public
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="cmss.exe" dir=in action=allow program="%PROGRAM_FILES%\WinApps\cmss.exe" enable=yes
<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\WinApps\cmss.exe" "cmss.exe" ENABLE

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Compress0\scday.dll
%TEMP%\Compress0\scen.dll
%TEMP%\Compress0\scan.dll
%TEMP%\Compress0\sccle.dll
%TEMP%\Compress0\scloc.dll
%TEMP%\Compress0\seek.dll
%TEMP%\Compress0\scint.dll
%TEMP%\Compress0\scint2.dll
%TEMP%\Compress0\rwcs.dll
%TEMP%\Compress0\rmdesk.dll
%TEMP%\Compress0\routerlink.exe
%TEMP%\Compress0\RDS.exe
%TEMP%\Compress0\resu.dll
%TEMP%\Compress0\rwce.dll
%TEMP%\Compress0\rwci.dll
%TEMP%\Compress0\rvhost.dll
%TEMP%\Compress0\rvport.dll
<SYSTEM32>\ieobject.dll
%PROGRAM_FILES%\WinApps\RDS.exe
%TEMP%\Compress0\zipinfo.txt
C:\MSWINSCK.OCX
%PROGRAM_FILES%\Accessories\Common\desktop.ini
%WINDIR%\zipinfo.txt
%WINDIR%\ntfsv.dll
%TEMP%\Compress0\weben.dll
%TEMP%\Compress0\ssap.dll
%TEMP%\Compress0\type.dll
%TEMP%\Compress0\seekil.dll
%TEMP%\Compress0\sid2.dll
%TEMP%\Compress0\user.dll
%TEMP%\Compress0\ushost.dll
%TEMP%\Compress0\unin.dll
%TEMP%\Compress0\update.dll
%TEMP%\Compress0\emon.dll
%TEMP%\Compress0\emoo.dll
%TEMP%\Compress0\emine.dll
%TEMP%\Compress0\eminu.dll
%TEMP%\Compress0\ftin.dll
%TEMP%\Compress0\ftpa.dll
%TEMP%\Compress0\ftde.dll
%TEMP%\Compress0\ften.dll
%TEMP%\Compress0\emfzb.dll
%TEMP%\Compress0\ass.dll
%TEMP%\Compress0\delkl.dll
%TEMP%\nsc2.tmp
%TEMP%\Compress0\305858_260522920651612_157022417668330_663756_1231111932_n (1).jpg
%TEMP%\Compress0\emdc.dll
%TEMP%\Compress0\emfz.dll
%TEMP%\Compress0\dete.dll
%TEMP%\Compress0\dunin.dll
%TEMP%\Compress0\MSWINSCK.OCX
%TEMP%\Compress0\ntfsv.dll
%TEMP%\Compress0\mailkl.dll
%TEMP%\Compress0\mailsc.dll
%TEMP%\Compress0\port.dll
%TEMP%\Compress0\pwhost.dll
%TEMP%\Compress0\oem.dll
%TEMP%\Compress0\picture.dll
%TEMP%\Compress0\mail.dll
%TEMP%\Compress0\fttx.dll
%TEMP%\Compress0\ftus.dll
%TEMP%\Compress0\ftps.dll
%TEMP%\Compress0\ftsv.dll
%TEMP%\Compress0\inuser.dll
%TEMP%\Compress0\java.exe
%TEMP%\Compress0\inmsg.dll
%TEMP%\Compress0\inter.dll

Присваивает атрибут 'скрытый' для следующих файлов:

%WINDIR%\ntfsv.dll

Удаляет следующие файлы:

%TEMP%\Compress0\dete.dll
%TEMP%\Compress0\dunin.dll
%TEMP%\Compress0\emdc.dll
%TEMP%\Compress0\delkl.dll
%TEMP%\~DFDCD5.tmp
%TEMP%\Compress0\305858_260522920651612_157022417668330_663756_1231111932_n (1).jpg
%TEMP%\Compress0\ass.dll

Другое:

Ищет следующие окна: