Trojan.MulDrop27.64884

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\BEP calculator 7.23.66] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\BEP calculator 7.23.66] 'ImagePath' = '%ALLUSERSPROFILE%\BEP calculator 7.23.66\BEP calculator 7.23.66.exe'

Создает следующие сервисы

'BEP calculator 7.23.66' %ALLUSERSPROFILE%\BEP calculator 7.23.66\BEP calculator 7.23.66.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-dh00h.tmp\is-28do1.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\unins000.dat
%LOCALAPPDATA%\mp3 cd ripper beta\is-0suta.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-dmo5m.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-hc5n6.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-8q5v5.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-6ngnd.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-9tsc9.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-ptgtt.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-bk2jg.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-49cc2.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\mp3cdripperbeta32_64.exe
%LOCALAPPDATA%\mp3 cd ripper beta\is-im8re.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-63okv.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-7tu6i.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-v6hla.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-sh4dn.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-ce6vr.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-m1h64.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-91h08.tmp
%TEMP%\is-vop5a.tmp\_iscrypt.dll
%TEMP%\is-vop5a.tmp\_isetup\_shfoldr.dll
%TEMP%\is-vop5a.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\mp3 cd ripper beta\is-hlfmb.tmp
%ALLUSERSPROFILE%\bep calculator 7.23.66\bep calculator 7.23.66.exe

Перемещает следующие файлы

%LOCALAPPDATA%\mp3 cd ripper beta\is-91h08.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\unins000.exe
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-hc5n6.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\netdiagram.vst
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-8q5v5.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\lines.vssx
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-6ngnd.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\lines.vss
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-9tsc9.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\devices.vssx
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-ptgtt.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\devices.vss
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-bk2jg.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\areas.vssx
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-49cc2.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\areas.vss
%LOCALAPPDATA%\mp3 cd ripper beta\is-im8re.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\file_id.diz
%LOCALAPPDATA%\mp3 cd ripper beta\is-hlfmb.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\license.txt
%LOCALAPPDATA%\mp3 cd ripper beta\is-63okv.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\whatsnew.txt
%LOCALAPPDATA%\mp3 cd ripper beta\is-7tu6i.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\libssl-1_1.dll
%LOCALAPPDATA%\mp3 cd ripper beta\is-v6hla.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\libcrypto-1_1.dll
%LOCALAPPDATA%\mp3 cd ripper beta\is-sh4dn.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\ssleay32.dll
%LOCALAPPDATA%\mp3 cd ripper beta\is-ce6vr.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\libeay32.dll
%LOCALAPPDATA%\mp3 cd ripper beta\is-m1h64.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\netdiagram.chm
%LOCALAPPDATA%\mp3 cd ripper beta\visio\is-dmo5m.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\visio\netdiagram.vstx
%LOCALAPPDATA%\mp3 cd ripper beta\is-0suta.tmp в %LOCALAPPDATA%\mp3 cd ripper beta\mp3cdripperbeta32_64.exe

Другое

Ищет следующие окна

ClassName: 'D223dd_Flash7233FixClass_D223dd' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-dh00h.tmp\is-28do1.tmp' /SL4 $A024A "<Полный путь к файлу>" 6796677 52224
'%LOCALAPPDATA%\mp3 cd ripper beta\mp3cdripperbeta32_64.exe' -i
'%LOCALAPPDATA%\mp3 cd ripper beta\mp3cdripperbeta32_64.exe' -s