Trojan.MulDrop11.49053

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\PDFShaperPro\shell\open\command] '' = '"%ProgramFiles(x86)%\PDF Shaper Professional\PDFViewer.exe" "%1"'

Вредоносные функции

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut9d1c.tmp
%APPDATA%\burnaware\pdf shaper\pdfshaper.ini
%ProgramFiles(x86)%\pdf shaper professional\unins000.dat
C:\users\public\desktop\pdf viewer.lnk
C:\users\public\desktop\pdf shaper professional.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\uninstall pdf shaper professional.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\pdf shaper professional on the web.url
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\help.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\pdf viewer.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\pdf shaper professional\pdf shaper professional.lnk
%ProgramFiles(x86)%\pdf shaper professional\is-uas3h.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-l2m54.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-t4dvm.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-25bte.tmp
%ProgramFiles(x86)%\pdf shaper professional\tessdata\is-4n24e.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-i233g.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-3auec.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-iitg6.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-2phf6.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-8it0l.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-3cl00.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-glh0a.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-d2n31.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-g8o2q.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-hodlq.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-urae2.tmp
%ProgramFiles(x86)%\pdf shaper professional\is-7soj6.tmp
%TEMP%\is-b20k8.tmp\_isetup\_setup64.tmp
%TEMP%\is-7gqpe.tmp\~ejvbfvd.tmp
%CommonProgramFiles(x86)%\~ejvbfvd.tmp
%TEMP%\aute1b8.tmp
%ProgramFiles(x86)%\pdf shaper professional\~smteqnh.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%CommonProgramFiles(x86)%\~ejvbfvd.tmp

Удаляет следующие файлы

%TEMP%\aut9d1c.tmp
%TEMP%\is-b20k8.tmp\_isetup\_setup64.tmp
%TEMP%\is-7gqpe.tmp\~ejvbfvd.tmp
%TEMP%\aute1b8.tmp
%ProgramFiles(x86)%\pdf shaper professional\~smteqnh.tmp
%CommonProgramFiles(x86)%\~ejvbfvd.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\pdf shaper professional\is-7soj6.tmp в %ProgramFiles(x86)%\pdf shaper professional\unins000.exe
%ProgramFiles(x86)%\pdf shaper professional\pdfshaper.exe в %ProgramFiles(x86)%\pdf shaper professional\pdfshaper.bin
%ProgramFiles(x86)%\pdf shaper professional\is-uas3h.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfshaper.chm
%ProgramFiles(x86)%\pdf shaper professional\is-l2m54.tmp в %ProgramFiles(x86)%\pdf shaper professional\ps9pro.dll
%ProgramFiles(x86)%\pdf shaper professional\is-t4dvm.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfviewer.exe
%ProgramFiles(x86)%\pdf shaper professional\is-25bte.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfshaper.exe
%ProgramFiles(x86)%\pdf shaper professional\tessdata\is-4n24e.tmp в %ProgramFiles(x86)%\pdf shaper professional\tessdata\eng.traineddata
%ProgramFiles(x86)%\pdf shaper professional\is-i233g.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdffile.ico
%ProgramFiles(x86)%\pdf shaper professional\is-3auec.tmp в %ProgramFiles(x86)%\pdf shaper professional\ocr.dll
%ProgramFiles(x86)%\pdf shaper professional\is-iitg6.tmp в %ProgramFiles(x86)%\pdf shaper professional\wrs10.dll
%ProgramFiles(x86)%\pdf shaper professional\is-2phf6.tmp в %ProgramFiles(x86)%\pdf shaper professional\wps32.dll
%ProgramFiles(x86)%\pdf shaper professional\is-8it0l.tmp в %ProgramFiles(x86)%\pdf shaper professional\wpcc.dll
%ProgramFiles(x86)%\pdf shaper professional\is-3cl00.tmp в %ProgramFiles(x86)%\pdf shaper professional\txml2.dll
%ProgramFiles(x86)%\pdf shaper professional\is-glh0a.tmp в %ProgramFiles(x86)%\pdf shaper professional\ter26.dll
%ProgramFiles(x86)%\pdf shaper professional\is-d2n31.tmp в %ProgramFiles(x86)%\pdf shaper professional\ssgp.dll
%ProgramFiles(x86)%\pdf shaper professional\is-g8o2q.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdfview.dll
%ProgramFiles(x86)%\pdf shaper professional\is-hodlq.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdc32.dll
%ProgramFiles(x86)%\pdf shaper professional\is-urae2.tmp в %ProgramFiles(x86)%\pdf shaper professional\pdftowordx.dll
%ProgramFiles(x86)%\pdf shaper professional\pdfviewer.exe в %ProgramFiles(x86)%\pdf shaper professional\pdfviewer.bin
%ProgramFiles(x86)%\pdf shaper professional\ps9pro.dll в %ProgramFiles(x86)%\pdf shaper professional\ps9pro.dll.bak

Подменяет следующие файлы

%ProgramFiles(x86)%\pdf shaper professional\pdfshaper.exe
%ProgramFiles(x86)%\pdf shaper professional\pdfviewer.exe
%ProgramFiles(x86)%\pdf shaper professional\ps9pro.dll

Другое

Ищет следующие окна

ClassName: 'DDEMLMom' WindowName: ''
ClassName: 'IEFrame' WindowName: ''

Создает и запускает на исполнение

'%CommonProgramFiles(x86)%\~ejvbfvd.tmp' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'%TEMP%\is-7gqpe.tmp\~ejvbfvd.tmp' /SL5="$80024,17941401,189952,%CommonProgramFiles(x86)%\~ejvbfvd.tmp" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'%ProgramFiles(x86)%\pdf shaper professional\~smteqnh.tmp'

Запускает на исполнение