Trojan.MulDrop11.21643

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Control Panel\Desktop\] 'SCRNSAVE.EXE' = '<SYSTEM32>\MRHELL~1.SCR'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'WINWORD' = '%WINDIR%\WINWORD.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'MSMSGS' = '%HOMEPATH%\Local Settings\Application Data\WINDOWS\WINLOGON.EXE'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'Serviceuser' = '%HOMEPATH%\Local Settings\Application Data\WINDOWS\SERVICES.EXE'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'Logonuser' = '%HOMEPATH%\Local Settings\Application Data\WINDOWS\CSRSS.EXE'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'System Monitoring' = '%HOMEPATH%\Local Settings\Application Data\WINDOWS\LSASS.EXE'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "<SYSTEM32>\IExplorer.exe"'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\IExplorer.exe'
[<HKLM>\Software\Classes\lnkfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
[<HKLM>\Software\Classes\piffile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
[<HKLM>\Software\Classes\batfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
[<HKLM>\Software\Classes\comfile\shell\open\command] '' = '"<SYSTEM32>\shell.exe" "%1" %*'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Mixer' = '%WINDIR%\WINWORD.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Mixer' = '%WINDIR%\WINWORD.exe'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\laporan angel.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

блокирует:

Компонент восстановления системы (SR)

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\] 'NoFolderOptions' = '00000001'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\] 'NoFolderOptions' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '03FFFFFF'

Изменения в файловой системе

Создает следующие файлы