Trojan.MulDrop11.18421

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\LmpcService] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\LmpcService] 'ImagePath' = '%ProgramFiles%\Lock My PC 4\LmpcServ.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\sibaabe.tmp\sibca.dll
%APPDATA%\microsoft\windows\start menu\programs\lock my pc 4\uninstall lock my pc.lnk
%APPDATA%\microsoft\windows\start menu\programs\lock my pc 4\lock my pc help.lnk
%APPDATA%\microsoft\windows\start menu\programs\lock my pc 4\lock my pc settings.lnk
%APPDATA%\microsoft\windows\start menu\programs\lock my pc 4\lock my pc.lnk
%APPDATA%\microsoft\windows\start menu\programs\lock my pc 4\fspro labs in web ....lnk
%ProgramFiles%\lock my pc 4\lockscreens\is-tja8h.tmp
%ProgramFiles%\lock my pc 4\lockscreens\is-gcsh1.tmp
%ProgramFiles%\lock my pc 4\lockscreens\is-g0um5.tmp
%ProgramFiles%\lock my pc 4\lockscreens\is-fva0r.tmp
%ProgramFiles%\lock my pc 4\lockscreens\is-pln3k.tmp
%ProgramFiles%\lock my pc 4\lockscreens\is-fe0m8.tmp
%ProgramFiles%\lock my pc 4\lockscreens\is-eape7.tmp
%ProgramFiles%\lock my pc 4\is-1vn3r.tmp
%ProgramFiles%\lock my pc 4\unins000.msg
%ProgramFiles%\lock my pc 4\is-o4d6e.tmp
%ProgramFiles%\lock my pc 4\is-ou3i3.tmp
%ProgramFiles%\lock my pc 4\is-73bvk.tmp
<SYSTEM32>\is-pr1u6.tmp
<DRIVERS>\is-he4ub.tmp
%ProgramFiles%\lock my pc 4\is-edj11.tmp
%ProgramFiles%\lock my pc 4\is-1hhqd.tmp
%ProgramFiles%\lock my pc 4\is-562c5.tmp
%ProgramFiles%\lock my pc 4\is-t5rto.tmp
%TEMP%\is-eu6ea.tmp\_isetup\_shfoldr.dll
%TEMP%\is-eu6ea.tmp\_isetup\_setup64.tmp
%TEMP%\is-l5qlt.tmp\lmpc4_free_setup.tmp
%TEMP%\sibaabe.tmp\0\lmpc4_free_setup.exe
%TEMP%\sibaabe.tmp\sibclr.dll
%ProgramFiles%\lock my pc 4\is-4cs6j.tmp
%ProgramFiles%\lock my pc 4\unins000.dat

Удаляет следующие файлы

%TEMP%\is-eu6ea.tmp\_isetup\_setup64.tmp
%TEMP%\is-eu6ea.tmp\_isetup\_shfoldr.dll
%TEMP%\is-l5qlt.tmp\lmpc4_free_setup.tmp
%TEMP%\sibaabe.tmp\0\lmpc4_free_setup.exe
%TEMP%\sibaabe.tmp\sibca.dll
%TEMP%\sibaabe.tmp\sibclr.dll

Перемещает следующие файлы

%ProgramFiles%\lock my pc 4\is-t5rto.tmp в %ProgramFiles%\lock my pc 4\unins000.exe
%ProgramFiles%\lock my pc 4\lockscreens\is-g0um5.tmp в %ProgramFiles%\lock my pc 4\lockscreens\lockscreen5_b.gif
%ProgramFiles%\lock my pc 4\lockscreens\is-fva0r.tmp в %ProgramFiles%\lock my pc 4\lockscreens\lockscreen4.jpg
%ProgramFiles%\lock my pc 4\lockscreens\is-pln3k.tmp в %ProgramFiles%\lock my pc 4\lockscreens\lockscreen3.jpg
%ProgramFiles%\lock my pc 4\lockscreens\is-fe0m8.tmp в %ProgramFiles%\lock my pc 4\lockscreens\lockscreen2.jpg
%ProgramFiles%\lock my pc 4\lockscreens\is-eape7.tmp в %ProgramFiles%\lock my pc 4\lockscreens\lockscreen1.jpg
%ProgramFiles%\lock my pc 4\is-1vn3r.tmp в %ProgramFiles%\lock my pc 4\register.url
%ProgramFiles%\lock my pc 4\is-o4d6e.tmp в %ProgramFiles%\lock my pc 4\fsprolabs.url
%ProgramFiles%\lock my pc 4\is-4cs6j.tmp в %ProgramFiles%\lock my pc 4\license.txt
%ProgramFiles%\lock my pc 4\is-ou3i3.tmp в %ProgramFiles%\lock my pc 4\lockmypc.chm
%ProgramFiles%\lock my pc 4\is-73bvk.tmp в %ProgramFiles%\lock my pc 4\locklib.dll
<SYSTEM32>\is-pr1u6.tmp в <SYSTEM32>\fsp_lmwl.dll
<DRIVERS>\is-he4ub.tmp в <DRIVERS>\lmpc4.sys
%ProgramFiles%\lock my pc 4\is-edj11.tmp в %ProgramFiles%\lock my pc 4\lmpcserv.exe
%ProgramFiles%\lock my pc 4\is-1hhqd.tmp в %ProgramFiles%\lock my pc 4\lockcp.exe
%ProgramFiles%\lock my pc 4\is-562c5.tmp в %ProgramFiles%\lock my pc 4\lockpc.exe
%ProgramFiles%\lock my pc 4\lockscreens\is-gcsh1.tmp в %ProgramFiles%\lock my pc 4\lockscreens\lockscreen6_r.gif
%ProgramFiles%\lock my pc 4\lockscreens\is-tja8h.tmp в %ProgramFiles%\lock my pc 4\lockscreens\sample.isf

Сетевая активность

UDP

DNS ASK fs##o.net

Другое

Ищет следующие окна

ClassName: 'TLMPCMainForm' WindowName: ''
ClassName: 'DDEMLMom' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\sibaabe.tmp\0\lmpc4_free_setup.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART
'%TEMP%\is-l5qlt.tmp\lmpc4_free_setup.tmp' /SL5="$70236,1667084,118784,%TEMP%\sibAABE.tmp\0\lmpc4_free_setup.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART
'%ProgramFiles%\lock my pc 4\lockpc.exe' /i
'%ProgramFiles%\lock my pc 4\lockpc.exe' /s
'%ProgramFiles%\lock my pc 4\lmpcserv.exe'
'%WINDIR%\syswow64\sc.exe' stop LmpcService' (со скрытым окном)
'%ProgramFiles%\lock my pc 4\lockpc.exe' /i' (со скрытым окном)
'<SYSTEM32>\sc.exe' create LmpcService binPath= "%ProgramFiles%\Lock My PC 4\LmpcServ.exe" start= auto group= UIGroup DisplayName= "Lock My PC Service"' (со скрытым окном)
'<SYSTEM32>\sc.exe' start LmpcService' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\sc.exe' stop LmpcService
'<SYSTEM32>\sc.exe' create LmpcService binPath= "%ProgramFiles%\Lock My PC 4\LmpcServ.exe" start= auto group= UIGroup DisplayName= "Lock My PC Service"
'<SYSTEM32>\sc.exe' start LmpcService