Trojan.MulDrop24.9760

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi.ciop
<Имя диска съемного носителя>:\ciopreadme.txt

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\clearnetworkdns_11-22-33.bat
C:\users\public\pictures\sample pictures\hydrangeas.jpg.ciop
C:\users\public\pictures\sample pictures\jellyfish.jpg.ciop
C:\users\public\pictures\sample pictures\koala.jpg.ciop
C:\users\public\pictures\sample pictures\lighthouse.jpg.ciop
C:\users\public\pictures\sample pictures\penguins.jpg.ciop
C:\users\public\pictures\sample pictures\tulips.jpg.ciop
C:\users\public\recorded tv\sample media\ciopreadme.txt
C:\users\public\videos\sample videos\ciopreadme.txt
%HOMEPATH%\contacts\user.contact.ciop
%HOMEPATH%\contacts\ciopreadme.txt
%HOMEPATH%\favorites\links\web slice gallery.url.ciop
%HOMEPATH%\favorites\links\ciopreadme.txt
%HOMEPATH%\favorites\links for united states\gobiernousa.gov.url.ciop
%HOMEPATH%\favorites\links for united states\ciopreadme.txt
%HOMEPATH%\favorites\links for united states\usa.gov.url.ciop
C:\users\public\pictures\sample pictures\desert.jpg.ciop
%HOMEPATH%\favorites\microsoft websites\ie add-on site.url.ciop
C:\users\public\pictures\sample pictures\ciopreadme.txt
C:\users\public\music\sample music\ciopreadme.txt
C:\kms\kms_vl_all_aio.cmd.ciop
C:\kms\ciopreadme.txt
D:\install.log.ciop
D:\ciopreadme.txt
C:\kms\kms_vl_all_aio_debug.log.ciop
<Текущая директория>\ciopreadme.txt
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\ciopreadme.txt
C:\users\default\documents\my music\ciopreadme.txt
C:\users\default\documents\my pictures\ciopreadme.txt
C:\users\default\documents\my videos\ciopreadme.txt
C:\users\public\documents\my music\ciopreadme.txt
C:\users\public\documents\my pictures\ciopreadme.txt
C:\users\public\documents\my videos\ciopreadme.txt
C:\users\public\libraries\recordedtv.library-ms.ciop
C:\users\public\libraries\ciopreadme.txt
C:\users\public\pictures\sample pictures\chrysanthemum.jpg.ciop
%HOMEPATH%\favorites\microsoft websites\ciopreadme.txt

Удаляет следующие файлы

<Текущая директория>\clearnetworkdns_11-22-33.bat

Изменяет следующие файлы

%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\boot.sdi
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winre.wim
C:\users\public\music\sample music\kalimba.mp3
C:\users\public\music\sample music\maid with the flaxen hair.mp3
C:\users\public\music\sample music\sleep away.mp3
C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv
C:\users\public\videos\sample videos\wildlife.wmv

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\clearnetworkdns_11-22-33.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\clearnetworkdns_11-22-33.bat" "
'%WINDIR%\syswow64\vssadmin.exe' resize shadowstorage /for=c: /on=c: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' resize shadowstorage /for=c: /on=c: /maxsize=unbounded
'%WINDIR%\syswow64\vssadmin.exe' resize shadowstorage /for=d: /on=d: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' resize shadowstorage /for=d: /on=d: /maxsize=unbounded