Trojan.MulDrop11.24559

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\RevoUninstallerPro.ruel\shell\open\command] '' = '%ProgramFiles%\Revo Uninstaller Pro\RevoUninPro.exe /implog "%1"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\Revoflt] 'ImagePath' = 'system32\DRIVERS\revoflt.sys'

Изменения в файловой системе

Создает следующие файлы

C:\cyberspace\cyberspace.exe
<DRIVERS>\set512f.tmp
%ProgramFiles%\revo uninstaller pro\unins000.dat
%HOMEPATH%\desktop\revo uninstaller pro.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\revo uninstaller pro\uninstall.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\revo uninstaller pro\revo uninstaller pro.lnk
%ProgramFiles%\revo uninstaller pro\is-uq0h0.tmp
%ProgramFiles%\revo uninstaller pro\is-p55o8.tmp
%ProgramFiles%\revo uninstaller pro\is-p5sm5.tmp
%ProgramFiles%\revo uninstaller pro\is-v3oh6.tmp
%ProgramFiles%\revo uninstaller pro\is-827hr.tmp
%ProgramFiles%\revo uninstaller pro\is-6kotr.tmp
%ProgramFiles%\revo uninstaller pro\is-pi7tf.tmp
%ProgramFiles%\revo uninstaller pro\lang\is-lrpmf.tmp
%ProgramFiles%\revo uninstaller pro\lang\is-iutan.tmp
%ProgramFiles%\revo uninstaller pro\lang\is-a6guj.tmp
%ProgramFiles%\revo uninstaller pro\is-3h6de.tmp
%TEMP%\is-vb672.tmp\wizardform.bitmapimage1.bmp
%TEMP%\is-vb672.tmp\metroblue.vsf
%TEMP%\is-vb672.tmp\vclstylesinno.dll
%TEMP%\is-vb672.tmp\istask.dll
%TEMP%\is-vb672.tmp\_isetup\_shfoldr.dll
%TEMP%\is-vb672.tmp\_isetup\_setup64.tmp
%TEMP%\is-vb672.tmp\_isetup\_regdll.tmp
%TEMP%\is-5tdgk.tmp\cyberspace.tmp
C:\cyberspace\silent.exe
%WINDIR%\temp\udd5824.tmp
<LS_APPDATA>\vs revo group\revo uninstaller pro\data\cachedata.dat

Удаляет следующие файлы

Перемещает следующие файлы

%ProgramFiles%\revo uninstaller pro\is-3h6de.tmp в %ProgramFiles%\revo uninstaller pro\unins000.exe
%ProgramFiles%\revo uninstaller pro\lang\is-a6guj.tmp в %ProgramFiles%\revo uninstaller pro\lang\english.ini
%ProgramFiles%\revo uninstaller pro\lang\is-iutan.tmp в %ProgramFiles%\revo uninstaller pro\lang\russian.ini
%ProgramFiles%\revo uninstaller pro\lang\is-lrpmf.tmp в %ProgramFiles%\revo uninstaller pro\lang\ukrainian.ini
%ProgramFiles%\revo uninstaller pro\is-pi7tf.tmp в %ProgramFiles%\revo uninstaller pro\revoflt.inf
%ProgramFiles%\revo uninstaller pro\is-6kotr.tmp в %ProgramFiles%\revo uninstaller pro\rupilogs.rupldb
%ProgramFiles%\revo uninstaller pro\is-827hr.tmp в %ProgramFiles%\revo uninstaller pro\revocmd.exe
%ProgramFiles%\revo uninstaller pro\is-v3oh6.tmp в %ProgramFiles%\revo uninstaller pro\revoflt.sys
%ProgramFiles%\revo uninstaller pro\is-p5sm5.tmp в %ProgramFiles%\revo uninstaller pro\revouninpro.exe
%ProgramFiles%\revo uninstaller pro\is-p55o8.tmp в %ProgramFiles%\revo uninstaller pro\revoappbar.exe
%ProgramFiles%\revo uninstaller pro\is-uq0h0.tmp в %ProgramFiles%\revo uninstaller pro\ruext.dll
<DRIVERS>\set512f.tmp в <DRIVERS>\revoflt.sys

Другое

Ищет следующие окна

Создает и запускает на исполнение

'C:\cyberspace\silent.exe'
'C:\cyberspace\cyberspace.exe' /VERYSILENT /TASKS=desktopicon
'%TEMP%\is-5tdgk.tmp\cyberspace.tmp' /SL5="$D009A,14840899,67072,C:\CyberSpace\cyberspace.exe" /VERYSILENT /TASKS=desktopicon
'%ProgramFiles%\revo uninstaller pro\revouninpro.exe' /bc
'<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 132 %ProgramFiles%\Revo Uninstaller Pro\revoflt.inf' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 132 %ProgramFiles%\Revo Uninstaller Pro\revoflt.inf
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\regsvr32.exe' /u /s "%ProgramFiles%\Revo Uninstaller Pro\RUExt.dll"
'%WINDIR%\regedit.exe' /S "C:\CyberSpace\settings.reg"