Trojan.MulDrop16.30786

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\ZfHookEngSrvEx] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\ZfHookEngSrvEx] 'ImagePath' = '"%ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x86\zhp.exe"'
[<HKLM>\System\CurrentControlSet\Services\ZfHookEngSrvEx-64] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\ZfHookEngSrvEx-64] 'ImagePath' = '"%ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x64\zhp.exe"'

Создает следующие сервисы

'ZfHookEngSrvEx' "%ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x86\zhp.exe"
'ZfHookEngSrvEx' %ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x86\zhp.exe
'ZfHookEngSrvEx-64' "%ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x64\zhp.exe"
'ZfHookEngSrvEx-64' %ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x64\zhp.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-ob6hl.tmp\<Имя файла>.tmp
%TEMP%\is-hmioj.tmp\zfhookctrl64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookctrl.dll
%TEMP%\is-hmioj.tmp\zfhookeng64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookeng.dll
%TEMP%\is-hmioj.tmp\zhp64.exe
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zhp.exe
%TEMP%\is-hmioj.tmp\zfhookpolicy64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookpolicy.dll
%TEMP%\is-hmioj.tmp\zfhookexectrlplugin64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookexectrlplugin.dll
%TEMP%\is-hmioj.tmp\zfhookfilemmplugin64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookfilemmplugin.dll
%TEMP%\is-hmioj.tmp\zfhookctrlex64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookctrlex.dll
%TEMP%\is-hmioj.tmp\zfhookprintctrlplugin64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookprintctrlplugin.dll
%TEMP%\is-hmioj.tmp\zfhookpluginloader64.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookpluginloader.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy-journal
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\is-hs543.tmp
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookconsole.exe
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\unins000.msg
%TEMP%\is-hmioj.tmp\zfhookconsole.exe
%TEMP%\is-hmioj.tmp\zfhookpluginloader.dll
%TEMP%\is-hmioj.tmp\_isetup\_setup64.tmp
%TEMP%\is-hmioj.tmp\_isetup\_shfoldr.dll
%TEMP%\is-hmioj.tmp\zfhookctrlexinner.dll
%TEMP%\is-hmioj.tmp\zfhookctrl.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookctrl.dll
%TEMP%\is-hmioj.tmp\zfhookeng.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookeng.dll
%TEMP%\is-hmioj.tmp\zhp.exe
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zhp.exe
%TEMP%\is-hmioj.tmp\zfhookpolicy.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookpolicy.dll
%TEMP%\is-hmioj.tmp\zfhookexectrlplugin.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookexectrlplugin.dll
%TEMP%\is-hmioj.tmp\zfhookfilemmplugin.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookfilemmplugin.dll
%TEMP%\is-hmioj.tmp\zfhookctrlex.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookctrlex.dll
%TEMP%\is-hmioj.tmp\zfhookctrlext.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookctrlext.dll
%TEMP%\is-hmioj.tmp\zfhookprintctrlplugin.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookprintctrlplugin.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookpluginloader.dll
%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\unins000.dat

Удаляет следующие файлы

%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy-journal
%TEMP%\is-ob6hl.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\is-hs543.tmp в %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\unins000.exe

Подменяет следующие файлы

%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy-journal

Другое

Создает и запускает на исполнение

'%TEMP%\is-ob6hl.tmp\<Имя файла>.tmp' /SL5="$100222,3942101,114176,<Полный путь к файлу>"
'%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zhp.exe' /service
'%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zhp.exe' /service
'%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zhp.exe' /service' (со скрытым окном)
'%ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zhp.exe' /service' (со скрытым окном)