Trojan.MulDrop25.25879

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\ObjectSerialization66] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\ObjectSerialization66] 'ImagePath' = '%ALLUSERSPROFILE%\ObjectSerialization66\ObjectSerialization66.exe'

Создает следующие сервисы

'ObjectSerialization66' %ALLUSERSPROFILE%\ObjectSerialization66\ObjectSerialization66.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-lhfjh.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\cd-drive image\unins000.dat
%LOCALAPPDATA%\cd-drive image\is-6uumv.tmp
%LOCALAPPDATA%\cd-drive image\languages\is-vi2ho.tmp
%LOCALAPPDATA%\cd-drive image\is-822go.tmp
%LOCALAPPDATA%\cd-drive image\is-1aeqq.tmp
%LOCALAPPDATA%\cd-drive image\is-gnuus.tmp
%LOCALAPPDATA%\cd-drive image\is-svmgo.tmp
%LOCALAPPDATA%\cd-drive image\is-gid1v.tmp
%LOCALAPPDATA%\cd-drive image\is-q0kq2.tmp
%LOCALAPPDATA%\cd-drive image\is-g5vku.tmp
%LOCALAPPDATA%\cd-drive image\is-6q22i.tmp
%LOCALAPPDATA%\cd-drive image\is-c7k6u.tmp
%LOCALAPPDATA%\cd-drive image\is-lvad8.tmp
%LOCALAPPDATA%\cd-drive image\is-lp45c.tmp
%LOCALAPPDATA%\cd-drive image\is-hpame.tmp
%LOCALAPPDATA%\cd-drive image\is-9dalt.tmp
%LOCALAPPDATA%\cd-drive image\is-23o5l.tmp
%LOCALAPPDATA%\cd-drive image\is-55j0e.tmp
%LOCALAPPDATA%\cd-drive image\is-v5mfl.tmp
%TEMP%\is-bb395.tmp\_isetup\_iscrypt.dll
%TEMP%\is-bb395.tmp\_isetup\_isdecmp.dll
%TEMP%\is-bb395.tmp\_isetup\_shfoldr.dll
%TEMP%\is-bb395.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\cd-drive image\cddriveimage.exe
%ALLUSERSPROFILE%\objectserialization66\objectserialization66.exe

Удаляет следующие файлы

%LOCALAPPDATA%\cd-drive image\libgcc_s_dw2-1.dll

Перемещает следующие файлы

%LOCALAPPDATA%\cd-drive image\is-v5mfl.tmp в %LOCALAPPDATA%\cd-drive image\unins000.exe
%LOCALAPPDATA%\cd-drive image\is-822go.tmp в %LOCALAPPDATA%\cd-drive image\setting.ini
%LOCALAPPDATA%\cd-drive image\is-1aeqq.tmp в %LOCALAPPDATA%\cd-drive image\sdl2.dll
%LOCALAPPDATA%\cd-drive image\is-gnuus.tmp в %LOCALAPPDATA%\cd-drive image\swresample-3.dll
%LOCALAPPDATA%\cd-drive image\is-svmgo.tmp в %LOCALAPPDATA%\cd-drive image\zlib1.dll
%LOCALAPPDATA%\cd-drive image\is-gid1v.tmp в %LOCALAPPDATA%\cd-drive image\libbz2-1.dll
%LOCALAPPDATA%\cd-drive image\is-q0kq2.tmp в %LOCALAPPDATA%\cd-drive image\libwinpthread-1.dll
%LOCALAPPDATA%\cd-drive image\languages\is-vi2ho.tmp в %LOCALAPPDATA%\cd-drive image\languages\turkish.ini
%LOCALAPPDATA%\cd-drive image\is-g5vku.tmp в %LOCALAPPDATA%\cd-drive image\libvorbisenc-2.dll
%LOCALAPPDATA%\cd-drive image\is-c7k6u.tmp в %LOCALAPPDATA%\cd-drive image\libogg-0.dll
%LOCALAPPDATA%\cd-drive image\is-lvad8.tmp в %LOCALAPPDATA%\cd-drive image\libiconv-2.dll
%LOCALAPPDATA%\cd-drive image\is-hpame.tmp в %LOCALAPPDATA%\cd-drive image\avutil-56.dll
%LOCALAPPDATA%\cd-drive image\is-9dalt.tmp в %LOCALAPPDATA%\cd-drive image\libgcc_s_dw2-1.dll
%LOCALAPPDATA%\cd-drive image\is-23o5l.tmp в %LOCALAPPDATA%\cd-drive image\avformat-58.dll
%LOCALAPPDATA%\cd-drive image\is-55j0e.tmp в %LOCALAPPDATA%\cd-drive image\avcodec-58.dll
%LOCALAPPDATA%\cd-drive image\is-6q22i.tmp в %LOCALAPPDATA%\cd-drive image\libvorbis-0.dll
%LOCALAPPDATA%\cd-drive image\is-6uumv.tmp в %LOCALAPPDATA%\cd-drive image\cddriveimage.exe

Подменяет следующие файлы

%LOCALAPPDATA%\cd-drive image\libgcc_s_dw2-1.dll

Другое

Ищет следующие окна

ClassName: '' WindowName: 'H344e1_CDDI2111FlashFixClass_H344e1'

Создает и запускает на исполнение

'%TEMP%\is-lhfjh.tmp\<Имя файла>.tmp' /SL5="$B015E,7954059,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\cd-drive image\cddriveimage.exe' -i
'%LOCALAPPDATA%\cd-drive image\cddriveimage.exe' -s