Trojan.MulDrop4.4854

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'iEXPLORER' = '<SYSTEM32>\hulk.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RUNSERVICES] '<Имя вируса>' = '<Полный путь к вирусу>'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

Запускает на исполнение:

<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v iEXPLORER /t Reg_SZ /d <SYSTEM32>\hulk.exe /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v hulk /t Reg_SZ /d %PROGRAM_FILES%\Hulk-Vir\hulk.exe /f
<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "EnableFirewall" /t REG_DWORD /d "0" /f
<SYSTEM32>\reg.exe add HKCU\Control Panel\international /v sTimeFormat /t Reg_SZ /d :Virus Detected! /f
<SYSTEM32>\reg.exe add HKLM\System\ControlSet001\Services /v hulk /t Reg_SZ /d <DRIVERS>\hulk.sys f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\policies\Explorer /v NoCloseDragDropBands /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\security center /v AntivirusEnableNotify /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer /v NoCloseDragDropBands /t REG_SZ /d 1 /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update /v AUOptions /t REG_DWORD /d 0 /f
<SYSTEM32>\netsh.exe firewall set opmode disable
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer \v NoFolderOptions /t REG_DWORD /d 1 /f
%WINDIR%\explorer.exe <SYSTEM32>\Show-me.exe
%WINDIR%\explorer.exe <SYSTEM32>\~.exe
%WINDIR%\explorer.exe <SYSTEM32>\autoNoda1simular.exe
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer \v NoFind /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer /v NoCloseDragDropBands /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer /v NoClose /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDrives /t REG_DWORD /d 000014 /f
<SYSTEM32>\reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion \v LegalNoticeText /t REG_SZ /d Hulk Live /f
<SYSTEM32>\reg.exe add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion \v RegisteredOrganization /t REG_SZ /d Yap...you are H4ck3d /f

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoClose' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '0000000C'

Изменения в файловой системе:

Создает следующие файлы: