Trojan.MulDrop24.12124

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\Movie Archive] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\Movie Archive] 'ImagePath' = '%ALLUSERSPROFILE%\Movie Archive\Movie Archive.exe'

Создает следующие сервисы

'Movie Archive' %ALLUSERSPROFILE%\Movie Archive\Movie Archive.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-cesaj.tmp\is-qlbfv.tmp
%ProgramFiles(x86)%\vobrules\unins000.dat
%ProgramFiles(x86)%\vobrules\is-5dgaq.tmp
%ProgramFiles(x86)%\vobrules\plugins\is-vfrvp.tmp
%ProgramFiles(x86)%\vobrules\plugins\is-5iack.tmp
%ProgramFiles(x86)%\vobrules\plugins\is-s9qse.tmp
%ProgramFiles(x86)%\vobrules\plugins\is-or88l.tmp
%ProgramFiles(x86)%\vobrules\help\is-6j13u.tmp
%ProgramFiles(x86)%\vobrules\online\is-urhse.tmp
%ProgramFiles(x86)%\vobrules\online\is-3bgs6.tmp
%ProgramFiles(x86)%\vobrules\lang\is-9v92q.tmp
%ProgramFiles(x86)%\vobrules\lang\is-edsnc.tmp
%ProgramFiles(x86)%\vobrules\lang\is-jvu5o.tmp
%ProgramFiles(x86)%\vobrules\lang\is-uauts.tmp
%ProgramFiles(x86)%\vobrules\lang\is-lsr0h.tmp
%ProgramFiles(x86)%\vobrules\lang\is-nsl8a.tmp
%ProgramFiles(x86)%\vobrules\lang\is-jr8hn.tmp
%ProgramFiles(x86)%\vobrules\lang\is-gtl9l.tmp
%ProgramFiles(x86)%\vobrules\lang\is-fnit3.tmp
%ProgramFiles(x86)%\vobrules\lang\is-ekd91.tmp
%ProgramFiles(x86)%\vobrules\lang\is-3tftl.tmp
%ProgramFiles(x86)%\vobrules\lang\is-295br.tmp
%ProgramFiles(x86)%\vobrules\lang\is-vic7n.tmp
%ProgramFiles(x86)%\vobrules\lang\is-oflfo.tmp
%ProgramFiles(x86)%\vobrules\lang\is-7q2qq.tmp
%ProgramFiles(x86)%\vobrules\lang\is-u63km.tmp
%ProgramFiles(x86)%\vobrules\is-n333m.tmp
%TEMP%\is-sbumo.tmp\_iscrypt.dll
%TEMP%\is-sbumo.tmp\_isetup\_shfoldr.dll
%TEMP%\is-sbumo.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\vobrules\vobrules.exe
%ALLUSERSPROFILE%\movie archive\movie archive.exe

Перемещает следующие файлы

%ProgramFiles(x86)%\vobrules\is-n333m.tmp в %ProgramFiles(x86)%\vobrules\unins000.exe
%ProgramFiles(x86)%\vobrules\plugins\is-5iack.tmp в %ProgramFiles(x86)%\vobrules\plugins\vob.rules
%ProgramFiles(x86)%\vobrules\plugins\is-s9qse.tmp в %ProgramFiles(x86)%\vobrules\plugins\various.rules
%ProgramFiles(x86)%\vobrules\plugins\is-or88l.tmp в %ProgramFiles(x86)%\vobrules\plugins\libwim-15.dll
%ProgramFiles(x86)%\vobrules\help\is-6j13u.tmp в %ProgramFiles(x86)%\vobrules\help\isobuster.chm
%ProgramFiles(x86)%\vobrules\online\is-urhse.tmp в %ProgramFiles(x86)%\vobrules\online\order now.html
%ProgramFiles(x86)%\vobrules\online\is-3bgs6.tmp в %ProgramFiles(x86)%\vobrules\online\isobuster online.html
%ProgramFiles(x86)%\vobrules\lang\is-9v92q.tmp в %ProgramFiles(x86)%\vobrules\lang\vietnamese.dll
%ProgramFiles(x86)%\vobrules\lang\is-edsnc.tmp в %ProgramFiles(x86)%\vobrules\lang\turkish.dll
%ProgramFiles(x86)%\vobrules\lang\is-jvu5o.tmp в %ProgramFiles(x86)%\vobrules\lang\suomi_finnish.dll
%ProgramFiles(x86)%\vobrules\lang\is-uauts.tmp в %ProgramFiles(x86)%\vobrules\lang\slovenian.dll
%ProgramFiles(x86)%\vobrules\plugins\is-vfrvp.tmp в %ProgramFiles(x86)%\vobrules\plugins\pfctoc.dll
%ProgramFiles(x86)%\vobrules\lang\is-lsr0h.tmp в %ProgramFiles(x86)%\vobrules\lang\romana.dll
%ProgramFiles(x86)%\vobrules\lang\is-jr8hn.tmp в %ProgramFiles(x86)%\vobrules\lang\polski.dll
%ProgramFiles(x86)%\vobrules\lang\is-gtl9l.tmp в %ProgramFiles(x86)%\vobrules\lang\nederlands.dll
%ProgramFiles(x86)%\vobrules\lang\is-fnit3.tmp в %ProgramFiles(x86)%\vobrules\lang\magyar.dll
%ProgramFiles(x86)%\vobrules\lang\is-ekd91.tmp в %ProgramFiles(x86)%\vobrules\lang\italiano.dll
%ProgramFiles(x86)%\vobrules\lang\is-3tftl.tmp в %ProgramFiles(x86)%\vobrules\lang\hindi.dll
%ProgramFiles(x86)%\vobrules\lang\is-295br.tmp в %ProgramFiles(x86)%\vobrules\lang\greek.dll
%ProgramFiles(x86)%\vobrules\lang\is-vic7n.tmp в %ProgramFiles(x86)%\vobrules\lang\francais.dll
%ProgramFiles(x86)%\vobrules\lang\is-oflfo.tmp в %ProgramFiles(x86)%\vobrules\lang\espanol.dll
%ProgramFiles(x86)%\vobrules\lang\is-7q2qq.tmp в %ProgramFiles(x86)%\vobrules\lang\deutsch.dll
%ProgramFiles(x86)%\vobrules\lang\is-u63km.tmp в %ProgramFiles(x86)%\vobrules\lang\dansk.dll
%ProgramFiles(x86)%\vobrules\lang\is-nsl8a.tmp в %ProgramFiles(x86)%\vobrules\lang\portugues.dll
%ProgramFiles(x86)%\vobrules\is-5dgaq.tmp в %ProgramFiles(x86)%\vobrules\vobrules.exe

Другое

Ищет следующие окна

ClassName: '' WindowName: 'Hb3721_PHE1171_FlashFixClass_Hb3721'

Создает и запускает на исполнение

'%TEMP%\is-cesaj.tmp\is-qlbfv.tmp' /SL4 $B0180 "<Полный путь к файлу>" 3960385 270848
'%ProgramFiles(x86)%\vobrules\vobrules.exe' -i
'%ProgramFiles(x86)%\vobrules\vobrules.exe' -s

Запускает на исполнение