Trojan.MulDrop9.52780

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe Plugins Manager' = '"%APPDATA%\Microsoft\PNT\punto.exe"'

Вредоносные функции

Создает и загружает библиотеки (эксплоит)

%TEMP%\hookdll.dll

Изменения в файловой системе

Создает следующие файлы

C:\users\clouds~1\appdata\local\temp\lfx.exe
%APPDATA%\microsoft\pnt\layouts.exe
%APPDATA%\microsoft\pnt\pshook64.dll
%APPDATA%\microsoft\pnt\pshook.dll
%APPDATA%\microsoft\pnt\diary.dll
%APPDATA%\microsoft\pnt\original\data\translit.dat
%APPDATA%\microsoft\pnt\original\data\triggers.dat
%APPDATA%\microsoft\pnt\data\translit.dat
%APPDATA%\microsoft\pnt\data\triggers.dat
%APPDATA%\microsoft\pnt\data\ps.dat
%APPDATA%\yandex\punto switcher\3.1\prog_ex.dat
%TEMP%\msf4805.tmp\filetouch.exe
%APPDATA%\microsoft\pnt\ntdll.dll
%APPDATA%\microsoft\pnt\uxtheme.dll
%APPDATA%\microsoft\pnt\psapi.dll
%APPDATA%\microsoft\pnt\msacm32.dll
%APPDATA%\microsoft\pnt\ps64ldr.exe
%APPDATA%\microsoft\pnt\midimap.dll
%APPDATA%\microsoft\pnt\punto.exe
%APPDATA%\microsoft\pnt\7.dll
%TEMP%\nse2.tmp
%TEMP%\nsh3.tmp\system.dll
%TEMP%\nsh3.tmp\nsprocess.dll
%TEMP%\nsh3.tmp\execcmd.dll
%APPDATA%\microsoft\pnt\config.reg
%TEMP%\hookdll.dll
%TEMP%\6410176.cmd
%TEMP%\msf4805.tmp\files1.bin
%TEMP%\msf4805.tmp\system.exe
%TEMP%\msf4805.tmp\1.dll
%TEMP%\msf4805.tmp\7.dll
%TEMP%\msf4805.tmp\encodespecific.exe
%TEMP%\msf4805.tmp\kdns32.exe
%TEMP%\msf4805.tmp\1.dat
%APPDATA%\microsoft\pnt\1.dat
%APPDATA%\microsoft\pnt\kdns32.exe
%APPDATA%\ntuser.dat

Удаляет следующие файлы

%APPDATA%\microsoft\pnt\config.reg
%TEMP%\nsh3.tmp\execcmd.dll
%TEMP%\msf4805.tmp\kdns32.exe
%TEMP%\msf4805.tmp\7.dll
%TEMP%\msf4805.tmp\1.dat
%APPDATA%\microsoft\pnt\7.dll
%APPDATA%\microsoft\pnt\kdns32.exe
%APPDATA%\microsoft\pnt\msacm32.dll
%APPDATA%\microsoft\pnt\psapi.dll
%TEMP%\nsh3.tmp\nsprocess.dll
%APPDATA%\microsoft\pnt\uxtheme.dll
%TEMP%\msf4805.tmp\filetouch.exe
%APPDATA%\microsoft\pnt\original\data\triggers.dat
%APPDATA%\microsoft\pnt\original\data\translit.dat
%TEMP%\msf4805.tmp\1.dll
%TEMP%\msf4805.tmp\encodespecific.exe
%TEMP%\hookdll.dll.tmp
%TEMP%\msf4805.tmp\system.exe
%TEMP%\msf4805.tmp\files1.bin
%APPDATA%\microsoft\pnt\ntdll.dll
%TEMP%\nsh3.tmp\system.dll

Перемещает следующие файлы

%TEMP%\hookdll.dll в %TEMP%\hookdll.dll.tmp

Подменяет следующие файлы

%TEMP%\msf4805.tmp\filetouch.exe

Сетевая активность

UDP

DNS ASK bu#.#lerk.us

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: 'Punto Switcher Main Window'

Создает и запускает на исполнение

'C:\users\clouds~1\appdata\local\temp\lfx.exe'
'%APPDATA%\microsoft\pnt\punto.exe'
'%APPDATA%\microsoft\pnt\kdns32.exe' punto.exe 7.dll
'%TEMP%\msf4805.tmp\system.exe' x -pAM5Hc1Ue07 files1.bin -aoa
'%TEMP%\msf4805.tmp\encodespecific.exe' 1.dll 1.dat
'%TEMP%\msf4805.tmp\filetouch.exe' /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex"
'%TEMP%\msf4805.tmp\filetouch.exe' /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex\*.*"
'%TEMP%\msf4805.tmp\filetouch.exe' /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex."
'<SYSTEM32>\cmd.exe' /C "kdns32.exe punto.exe 7.dll"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Microsoft\PNT\*.*""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex\*.*""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Microsoft\PNT""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex.""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Microsoft\PNT.""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\6410176.cmd" %TEMP%\hookDll.dll.tmp"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\msf4805.tmp\EncodeSpecific.exe 1.dll 1.dat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "system.exe x -pAM5Hc1Ue07 files1.bin -aoa"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "attrib +h +s +r "%APPDATA%\Microsoft\PNT""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "reg IMPORT Config.reg"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "attrib -h -s -r "%APPDATA%\Microsoft\PNT""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\6245467.cmd" "C:\Users\clouds~1\AppData\Local\Temp\lfx.exe" "%TEMP%\msf4805.tmp""' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C "attrib -h -s -r "%APPDATA%\Microsoft\PNT""
'<SYSTEM32>\cmd.exe' /C "attrib +h +s +r "%APPDATA%\Microsoft\PNT""
'<SYSTEM32>\cmd.exe' /C "kdns32.exe punto.exe 7.dll"
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Microsoft\PNT\*.*""
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Microsoft\PNT.""
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Microsoft\PNT""
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex\*.*""
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex.""
'<SYSTEM32>\cmd.exe' /C "FileTouch.exe /s /c /w /a /r /d 05-03-2012 "%APPDATA%\Yandex""
'<SYSTEM32>\cmd.exe' /C "%TEMP%\msf4805.tmp\EncodeSpecific.exe 1.dll 1.dat"
'<SYSTEM32>\ping.exe' -n 5 localhost
'<SYSTEM32>\cmd.exe' /C "system.exe x -pAM5Hc1Ue07 files1.bin -aoa"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\6410176.cmd" %TEMP%\hookDll.dll.tmp"
'<SYSTEM32>\reg.exe' IMPORT Config.reg
'<SYSTEM32>\cmd.exe' /C "reg IMPORT Config.reg"
'<SYSTEM32>\attrib.exe' -h -s -r "%APPDATA%\Microsoft\PNT"
'<SYSTEM32>\attrib.exe' +h +s +r "%APPDATA%\Microsoft\PNT"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\6245467.cmd" "C:\Users\clouds~1\AppData\Local\Temp\lfx.exe" "%TEMP%\msf4805.tmp""