Trojan.MulDrop27.59621

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\AERO Sample 6.25.66] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\AERO Sample 6.25.66] 'ImagePath' = '%ALLUSERSPROFILE%\AERO Sample 6.25.66\AERO Sample 6.25.66.exe'

Создает следующие сервисы

'AERO Sample 6.25.66' %ALLUSERSPROFILE%\AERO Sample 6.25.66\AERO Sample 6.25.66.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-f234b.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\mp3 rip free edition\unins000.dat
%LOCALAPPDATA%\mp3 rip free edition\is-pi73d.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-35qa3.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-fbj1m.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-bbt4e.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-s4cl8.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-8btlf.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-h1vm5.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-c1erh.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-bvqtl.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-mu2lb.tmp
%LOCALAPPDATA%\mp3 rip free edition\mp3ripfreeedition32_64.exe
%LOCALAPPDATA%\mp3 rip free edition\is-bbhob.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-fcs7t.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-mf3c0.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-s7plf.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-aq4hd.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-drpj8.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-covvl.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-f0fep.tmp
%TEMP%\is-f9dcl.tmp\_isetup\_iscrypt.dll
%TEMP%\is-f9dcl.tmp\_isetup\_shfoldr.dll
%TEMP%\is-f9dcl.tmp\_isetup\_setup64.tmp
%TEMP%\is-f9dcl.tmp\_isetup\_regdll.tmp
%LOCALAPPDATA%\mp3 rip free edition\is-0jabp.tmp
%ALLUSERSPROFILE%\aero sample 6.25.66\aero sample 6.25.66.exe

Перемещает следующие файлы

%LOCALAPPDATA%\mp3 rip free edition\is-f0fep.tmp в %LOCALAPPDATA%\mp3 rip free edition\unins000.exe
%LOCALAPPDATA%\mp3 rip free edition\is-fbj1m.tmp в %LOCALAPPDATA%\mp3 rip free edition\proportions.txt
%LOCALAPPDATA%\mp3 rip free edition\is-bbt4e.tmp в %LOCALAPPDATA%\mp3 rip free edition\openh264_license.txt
%LOCALAPPDATA%\mp3 rip free edition\is-s4cl8.tmp в %LOCALAPPDATA%\mp3 rip free edition\qtavwidgets1.dll
%LOCALAPPDATA%\mp3 rip free edition\is-8btlf.tmp в %LOCALAPPDATA%\mp3 rip free edition\qt5xml.dll
%LOCALAPPDATA%\mp3 rip free edition\is-h1vm5.tmp в %LOCALAPPDATA%\mp3 rip free edition\qt5winextras.dll
%LOCALAPPDATA%\mp3 rip free edition\is-c1erh.tmp в %LOCALAPPDATA%\mp3 rip free edition\qt5svg.dll
%LOCALAPPDATA%\mp3 rip free edition\is-bvqtl.tmp в %LOCALAPPDATA%\mp3 rip free edition\qt5opengl.dll
%LOCALAPPDATA%\mp3 rip free edition\is-35qa3.tmp в %LOCALAPPDATA%\mp3 rip free edition\libeay32.dll
%LOCALAPPDATA%\mp3 rip free edition\is-mu2lb.tmp в %LOCALAPPDATA%\mp3 rip free edition\openh264.dll
%LOCALAPPDATA%\mp3 rip free edition\is-0jabp.tmp в %LOCALAPPDATA%\mp3 rip free edition\msvcp140_1.dll
%LOCALAPPDATA%\mp3 rip free edition\is-fcs7t.tmp в %LOCALAPPDATA%\mp3 rip free edition\msvcp140.dll
%LOCALAPPDATA%\mp3 rip free edition\is-mf3c0.tmp в %LOCALAPPDATA%\mp3 rip free edition\msvcp120.dll
%LOCALAPPDATA%\mp3 rip free edition\is-s7plf.tmp в %LOCALAPPDATA%\mp3 rip free edition\mousehelper.dll
%LOCALAPPDATA%\mp3 rip free edition\is-aq4hd.tmp в %LOCALAPPDATA%\mp3 rip free edition\libmp3lame.dll
%LOCALAPPDATA%\mp3 rip free edition\is-drpj8.tmp в %LOCALAPPDATA%\mp3 rip free edition\libcurl.dll
%LOCALAPPDATA%\mp3 rip free edition\is-covvl.tmp в %LOCALAPPDATA%\mp3 rip free edition\avdevice-58.dll
%LOCALAPPDATA%\mp3 rip free edition\is-bbhob.tmp в %LOCALAPPDATA%\mp3 rip free edition\msvcr120.dll
%LOCALAPPDATA%\mp3 rip free edition\is-pi73d.tmp в %LOCALAPPDATA%\mp3 rip free edition\mp3ripfreeedition32_64.exe

Другое

Ищет следующие окна

ClassName: '' WindowName: 'fa5939_Flash6254FixClass_fa5939'

Создает и запускает на исполнение

'%TEMP%\is-f234b.tmp\<Имя файла>.tmp' /SL5="$D017E,4940640,54272,<Полный путь к файлу>"
'%LOCALAPPDATA%\mp3 rip free edition\mp3ripfreeedition32_64.exe' -i
'%LOCALAPPDATA%\mp3 rip free edition\mp3ripfreeedition32_64.exe' -s