Trojan.MulDrop.1266.origin

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\Directory\shell\open\command] '' = '<Полный путь к файлу> "%1"'
[<HKLM>\Software\Classes\Drive\shell\open\command] '' = '<Полный путь к файлу> "%1"'
[<HKLM>\Software\Classes\PROTOCOLS\Filter\text/html] 'CLSID' = '{75EA2845-EAD5-486E-A339-59FED49289A6}'
[<HKLM>\Software\Classes\Directory\shell\open\command] '' = '%WINDIR%\SysWow64\ntprintQQRRRRRR.exe "%1"'
[<HKLM>\Software\Classes\Drive\shell\open\command] '' = '%WINDIR%\SysWow64\ntprintQQRRRRRR.exe "%1"'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\MMMMMNN] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\MMMMMNN] 'ImagePath' = '<SYSTEM32>\svchost.exe -k PPPPPPPP'
[<HKLM>\SYSTEM\CurrentControlSet\Services\MMMMMNN\Parameters] 'ServiceDll' = '<SYSTEM32>\ucmhcWWWWWWWWWW.dll'

Создает следующие сервисы

Изменения в файловой системе

Создает следующие файлы

Присваивает атрибут 'скрытый' для следующих файлов

Перемещает следующие файлы

%WINDIR%\syswow64\mfc140chsmnnnnnn.dll.tmp в %WINDIR%\syswow64\mfc140chsmnnnnnn.dll
%WINDIR%\syswow64\winsrpcxyyyyyyyyy.dll.tmp в %WINDIR%\syswow64\winsrpcxyyyyyyyyy.dll
%WINDIR%\syswow64\ucmhcwwwwwwwwww.dll.tmp в %WINDIR%\syswow64\ucmhcwwwwwwwwww.dll

Изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\internet explorer (64-bit).lnk
%APPDATA%\microsoft\windows\start menu\programs\internet explorer.lnk
%APPDATA%\microsoft\windows\start menu\programs\accessories\notepad.lnk
%APPDATA%\microsoft\windows\start menu\programs\accessories\system tools\internet explorer (no add-ons).lnk
%APPDATA%\microsoft\internet explorer\quick launch\launch internet explorer browser.lnk

Самоудаляется.

Сетевая активность

Подключается к