Trojan.MulDrop9.46833

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%HOMEPATH%\start menu\programs\startup\desktop.ini.lnk

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /IM svchost.exe
'<SYSTEM32>\taskkill.exe' /IM cmd.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\system32\mmc.exe
%TEMP%\ir_ext_temp_0\autoplay\images\02.jpg
%TEMP%\ir_ext_temp_0\autoplay\images\bg-098.jpg
%TEMP%\ir_ext_temp_0\autoplay\images\e-logo.png
%TEMP%\ir_ext_temp_0\autoplay\images\software header.png
%TEMP%\ir_ext_temp_0\autoplay\plugins\fade.tns
%TEMP%\ir_ext_temp_0\autorun.exe
%TEMP%\ir_ext_temp_0\icon.ico
%TEMP%\ir_ext_temp_0\lua5.1.dll
%TEMP%\ir_ext_temp_0\lua51.dll
%APPDATA%\system32\startmupdate.cmd
%APPDATA%\system32\startupdate.cmd
%APPDATA%\system32\updatemssm.vbs
%APPDATA%\system32\updatessm.vbs
%APPDATA%\system32\windowsmupdate.exe
%APPDATA%\system32\hostprocesx86.exe
%APPDATA%\system32\svchost.exe
%APPDATA%\system32\config.json
%TEMP%\ir_ext_temp_0\autoplay\images\01.jpg
%APPDATA%\system32\startsvchost.cmd
%TEMP%\ir_ext_temp_0\autoplay\icons\icon.ico
%TEMP%\ir_ext_temp_0\autoplay\docs\drivereasy_setup.exe
%APPDATA%\system32\odbcad32.exe
%APPDATA%\system32\psrss.exe
%APPDATA%\system32\starts.bat
%APPDATA%\system32\ssm.vbs
%APPDATA%\system32\drvreasypro.exe
%APPDATA%\system32\ps.ps1
%APPDATA%\system32\hps.vbs
%APPDATA%\system32\startps.bat
%APPDATA%\system32\pcmd.vbs
%TEMP%\ir_ext_temp_0\autoplay\audio\click.wav
%TEMP%\ir_ext_temp_0\autoplay\audio\movie.wav
%TEMP%\ir_ext_temp_0\autoplay\autorun.cdd
%TEMP%\ir_ext_temp_0\autoplay\buttons\exit-25px.btn
%TEMP%\ir_ext_temp_0\autoplay\buttons\facebook-25px.btn
%TEMP%\ir_ext_temp_0\autoplay\buttons\patch-i-blue.btn
%TEMP%\ir_ext_temp_0\autoplay\buttons\setup-blue.btn
%TEMP%\ir_ext_temp_0\autoplay\buttons\twitter-25px.btn
%TEMP%\ir_ext_temp_0\autoplay\docs\patch.exe
%APPDATA%\system32\updatesvchost.vbs

Сетевая активность

UDP

DNS ASK xm#####.nanopool.org

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\system32\psrss.exe'
'%APPDATA%\system32\odbcad32.exe' -p123
'<SYSTEM32>\wscript.exe' "%APPDATA%\system32\updatesvchost.vbs"
'%APPDATA%\system32\windowsmupdate.exe' -p123
'<SYSTEM32>\wscript.exe' "%APPDATA%\system32\updatessm.vbs"
'%APPDATA%\system32\hostprocesx86.exe'
'<SYSTEM32>\wscript.exe' "%APPDATA%\system32\hps.vbs" -ExecutionPolicy ByPass -File "%APPDATA%\system32\ps.ps1"
'<SYSTEM32>\wscript.exe' "%APPDATA%\system32\updatemssm.vbs"
'%TEMP%\ir_ext_temp_0\autorun.exe' "SFXSOURCE:%APPDATA%\system32\drvreasypro.exe"
'<SYSTEM32>\wscript.exe' "%APPDATA%\system32\pcmd.vbs"
'%APPDATA%\system32\drvreasypro.exe'
'<SYSTEM32>\wscript.exe' "%APPDATA%\system32\ssm.vbs"
'%APPDATA%\system32\svchost.exe'
'%APPDATA%\system32\mmc.exe' -p123
'<SYSTEM32>\cmd.exe' /c startupdate.cmd' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c startmupdate.cmd' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c startsvchost.cmd' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c startps.bat' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c starts.bat' (со скрытым окном)