Trojan.MulDrop21.41181

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001] 'LibraryPath' = '<SYSTEM32>\NLAapi.dll'
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000002] 'LibraryPath' = '<SYSTEM32>\napinsp.dll'
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003] 'LibraryPath' = '<SYSTEM32>\pnrpnsp.dll'
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000004] 'LibraryPath' = '<SYSTEM32>\pnrpnsp.dll'
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000005] 'LibraryPath' = '<SYSTEM32>\mswsock.dll'
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000006] 'LibraryPath' = '<SYSTEM32>\winrnr.dll'
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000007] 'LibraryPath' = '<SYSTEM32>\wsApirnr'

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\file6.bdat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\y2qgz7v0\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\74vivbik\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\l26p66to\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1gw36mq4\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%CommonProgramFiles(x86)%\macrovision shared\flexnet publisher\publicmainrev\publiclogin.gif
%ALLUSERSPROFILE%\tencent\qqupdatemgr\qmea.dat
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\wsapirnr.dll
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\section.dat
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\main.gif
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\2345safesvc.exe
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\2345dlagent.dll
<Текущая директория>\main.dll
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\tencent\qqupdatemgr\qmea.dat
%WINDIR%\syswow64\wsapirnr.dll
%ALLUSERSPROFILE%\usoshared\logs\user\systeminfo\windowsasisst.dat
%CommonProgramFiles(x86)%\macrovision shared\flexnet publisher\publicmainrev\publiclogin.gif
%ALLUSERSPROFILE%\microsoft shared\filters\systeminfo\winlogin.gif
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1gw36mq4\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\l26p66to\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\74vivbik\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\y2qgz7v0\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

Перемещает следующие файлы

<Текущая директория>\main.dll в %ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\logo.gif
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\wsapirnr.dll в %WINDIR%\syswow64\wsapirnr.dll
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\main.gif в %ALLUSERSPROFILE%\usoshared\logs\user\systeminfo\windowsasisst.dat
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\logo.gif в %ALLUSERSPROFILE%\microsoft shared\filters\systeminfo\winlogin.gif
%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\2345safesvc.exe в %TEMP%\servicehub.sec

Самоудаляется.

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\2345safesvc.exe' run-svc
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Tencent\QQUpdateMgr" /T /c /E /G everyone:F' (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Tencent\QQUpdateMgr\UpdateFiles" /T /c /E /G everyone:F' (со скрытым окном)
'%ALLUSERSPROFILE%\tencent\qqupdatemgr\updatefiles\2345safesvc.exe' run-svc' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c del /F /Q "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c del /q /f *' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Tencent\QQUpdateMgr" /T /c /E /G everyone:F
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Tencent\QQUpdateMgr\UpdateFiles" /T /c /E /G everyone:F
'%WINDIR%\syswow64\cmd.exe' /c del /F /Q "<Полный путь к файлу>"
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\cmd.exe' /c del /q /f *