Trojan.MulDrop4.56871

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\JPGFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\WAVFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\giffile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\pngfile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\txtfile\shell\open\command] '' = ''
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '%APPDATA%\WUVaANLA\WUVaANLA.scr'
[<HKLM>\SOFTWARE\Classes\wmafile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\mp3file\shell\open\command] '' = ''

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ftp.exe' = '<SYSTEM32>\ftp.exe:*:Enabled:winftpsvc'

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +R +H +S "%PROGRAM_FILES%\YUS1\YUS1.exe"
'<SYSTEM32>\attrib.exe' +R +H +S "%PROGRAM_FILES%\YUS1"
'<SYSTEM32>\makecab.exe' "%PROGRAM_FILES%\OPEN.scr" "%PROGRAM_FILES%\FRWNIUTT.dat"
'<SYSTEM32>\rundll32.exe' user32.dll, UpdatePerUserSystemParameters
'<SYSTEM32>\attrib.exe' -R -H -S "%PROGRAM_FILES%\YUS1"
'<SYSTEM32>\attrib.exe' -R -H -S "%PROGRAM_FILES%\YUS1\YUS1.exe"
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\ftp.exe" "winftpsvc" ENABLE
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\ftp.exe" "winftpsvc32" ENABLE
'<SYSTEM32>\reg.exe' ADD "HKEY_CURRENT_USER\Control Panel\PowerCfg" /v CurrentPowerPolicy /t REG_SZ /d "3" /f
'<SYSTEM32>\reg.exe' ADD "HKCR\.rar\ShellNew" /v "FileName" /t REG_SZ /d "%PROGRAM_FILES%\FRWNIUTT.dat" /f
'<SYSTEM32>\reg.exe' ADD "HKCR\.zip\ShellNew" /v "FileName" /t REG_SZ /d "%PROGRAM_FILES%\FRWNIUTT.dat" /f
'<SYSTEM32>\reg.exe' ADD "HKCR\.zip\CompressedFolder\ShellNew" /v "FileName" /t REG_SZ /d "%PROGRAM_FILES%\FRWNIUTT.dat" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Desktop" /v ScreenSaveTimeOut /t REG_SZ /d "450" /f
'<SYSTEM32>\attrib.exe' +R +H +S "%APPDATA%\YUS1"
'<SYSTEM32>\cmd.exe' /c ""%APPDATA%\a.bat" "
'<SYSTEM32>\reg.exe' ADD "HKCU\software\microsoft\windows\currentversion\run" /v "YUS1" /t REG_SZ /d "cmd.exe /c \""%APPDATA%\YUS1\YUS1.YUS1"\" /f
'<SYSTEM32>\attrib.exe' -R -H -S "%appdata\YUS1"
'<SYSTEM32>\attrib.exe' -R -H -S "%APPDATA%\YUS1\YUS1.YUS1"
'<SYSTEM32>\attrib.exe' +R +H +S "%APPDATA%\YUS1\YUS1.YUS1"
'<SYSTEM32>\attrib.exe' +R +H +S "%APPDATA%\WUVaANLA"
'<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Desktop" /v "SCRNSAVE.EXE" /t REG_SZ /d "%APPDATA%\WUVaANLA\WUVaANLA.scr" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Desktop" /v ScreenSaveActive /t REG_SZ /d "1" /f
'<SYSTEM32>\attrib.exe' -R -H -S "%APPDATA%\WUVaANLA"
'<SYSTEM32>\attrib.exe' -R -H -S "%APPDATA%\WUVaANLA\WUVaANLA.scr"
'<SYSTEM32>\attrib.exe' +R +H +S "%APPDATA%\WUVaANLA\WUVaANLA.scr"