Trojan.MulDrop26.27552

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\PowerGo 66.0 Build 2191 Essential] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\PowerGo 66.0 Build 2191 Essential] 'ImagePath' = '%ALLUSERSPROFILE%\PowerGo 66.0 Build 2191 Essential\PowerGo 66.0 Build 2191 Essential.exe'

Создает следующие сервисы

'PowerGo 66.0 Build 2191 Essential' %ALLUSERSPROFILE%\PowerGo 66.0 Build 2191 Essential\PowerGo 66.0 Build 2191 Essential.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-vvjnf.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\cdrwin media\unins000.dat
%LOCALAPPDATA%\cdrwin media\is-pcsmp.tmp
%LOCALAPPDATA%\cdrwin media\languages\is-4ned9.tmp
%LOCALAPPDATA%\cdrwin media\is-2svvk.tmp
%LOCALAPPDATA%\cdrwin media\is-rkmk4.tmp
%LOCALAPPDATA%\cdrwin media\is-bc2g3.tmp
%LOCALAPPDATA%\cdrwin media\is-grt24.tmp
%LOCALAPPDATA%\cdrwin media\is-78tu0.tmp
%LOCALAPPDATA%\cdrwin media\is-v8c8d.tmp
%LOCALAPPDATA%\cdrwin media\is-osk6b.tmp
%LOCALAPPDATA%\cdrwin media\is-5sl6c.tmp
%LOCALAPPDATA%\cdrwin media\is-ur0fe.tmp
%LOCALAPPDATA%\cdrwin media\is-gjp3m.tmp
%LOCALAPPDATA%\cdrwin media\is-j2iqq.tmp
%LOCALAPPDATA%\cdrwin media\is-borq9.tmp
%LOCALAPPDATA%\cdrwin media\is-60q77.tmp
%LOCALAPPDATA%\cdrwin media\is-1fig8.tmp
%TEMP%\is-7t12n.tmp\_isetup\_iscrypt.dll
%TEMP%\is-7t12n.tmp\_isetup\_isdecmp.dll
%TEMP%\is-7t12n.tmp\_isetup\_shfoldr.dll
%TEMP%\is-7t12n.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\cdrwin media\cdrwinmedia.exe
%ALLUSERSPROFILE%\powergo 66.0 build 2191 essential\powergo 66.0 build 2191 essential.exe

Удаляет следующие файлы

Перемещает следующие файлы

%LOCALAPPDATA%\cdrwin media\is-1fig8.tmp в %LOCALAPPDATA%\cdrwin media\unins000.exe
%LOCALAPPDATA%\cdrwin media\is-60q77.tmp в %LOCALAPPDATA%\cdrwin media\libgcc_s_dw2-1.dll
%LOCALAPPDATA%\cdrwin media\is-borq9.tmp в %LOCALAPPDATA%\cdrwin media\avutil-56.dll
%LOCALAPPDATA%\cdrwin media\is-gjp3m.tmp в %LOCALAPPDATA%\cdrwin media\libiconv-2.dll
%LOCALAPPDATA%\cdrwin media\is-ur0fe.tmp в %LOCALAPPDATA%\cdrwin media\libogg-0.dll
%LOCALAPPDATA%\cdrwin media\is-5sl6c.tmp в %LOCALAPPDATA%\cdrwin media\libvorbis-0.dll
%LOCALAPPDATA%\cdrwin media\is-osk6b.tmp в %LOCALAPPDATA%\cdrwin media\libvorbisenc-2.dll
%LOCALAPPDATA%\cdrwin media\is-v8c8d.tmp в %LOCALAPPDATA%\cdrwin media\libwinpthread-1.dll
%LOCALAPPDATA%\cdrwin media\is-78tu0.tmp в %LOCALAPPDATA%\cdrwin media\libbz2-1.dll
%LOCALAPPDATA%\cdrwin media\is-grt24.tmp в %LOCALAPPDATA%\cdrwin media\zlib1.dll
%LOCALAPPDATA%\cdrwin media\is-bc2g3.tmp в %LOCALAPPDATA%\cdrwin media\swresample-3.dll
%LOCALAPPDATA%\cdrwin media\is-rkmk4.tmp в %LOCALAPPDATA%\cdrwin media\sdl2.dll
%LOCALAPPDATA%\cdrwin media\is-2svvk.tmp в %LOCALAPPDATA%\cdrwin media\setting.ini
%LOCALAPPDATA%\cdrwin media\languages\is-4ned9.tmp в %LOCALAPPDATA%\cdrwin media\languages\turkish.ini
%LOCALAPPDATA%\cdrwin media\is-pcsmp.tmp в %LOCALAPPDATA%\cdrwin media\cdrwinmedia.exe

Подменяет следующие файлы

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\is-vvjnf.tmp\<Имя файла>.tmp' /SL5="$F017A,4268356,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\cdrwin media\cdrwinmedia.exe' -i
'%LOCALAPPDATA%\cdrwin media\cdrwinmedia.exe' -s