Trojan.MulDrop1.41041

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SystemControler' = '%ProgramFiles%\SATACO~1\Remlive.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nssca9f.tmp
%TEMP%\compress0\update.dll
%TEMP%\compress0\unir.exe
%TEMP%\compress0\unin.dll
%TEMP%\compress0\type.dll
%TEMP%\compress0\svers.dll
%TEMP%\compress0\ssap.dll
%TEMP%\compress0\sid2.dll
%TEMP%\compress0\services32.exe
%TEMP%\compress0\seekil.dll
%TEMP%\compress0\seek.dll
%TEMP%\compress0\scloc.dll
%TEMP%\compress0\scint2.dll
%TEMP%\compress0\scint.dll
%TEMP%\compress0\scen.dll
%TEMP%\compress0\scday.dll
%TEMP%\compress0\sccle.dll
%TEMP%\compress0\scan.dll
%TEMP%\compress0\rwci.dll
%TEMP%\compress0\rwcs.dll
%TEMP%\compress0\user.dll
%TEMP%\compress0\ushost.dll
%ProgramFiles%\accessories\common\websites_detail.txt
%ProgramFiles%\accessories\common\websites_summary.txt
%ProgramFiles%\accessories\common\online_time.txt
%ProgramFiles%\accessories\common\pc_active_time.txt
%ProgramFiles%\accessories\common\kb_log.txt
%ProgramFiles%\accessories\common\desktop.ini
%WINDIR%\syswow64\mswinsck.ocx
%WINDIR%\hpvert.dll
%WINDIR%\netcox.exe
%TEMP%\compress0\mswinsck.ocx
%ProgramFiles(x86)%\satacontrol\rds.exe
%ProgramFiles(x86)%\satacontrol\remlive.exe
%ProgramFiles(x86)%\satacontrol\live.exe
%ProgramFiles(x86)%\satacontrol\cmss.exe
%ProgramFiles(x86)%\satacontrol\services32.exe
%TEMP%\compress0\zipinfo.txt
%TEMP%\compress0\winsyst32.exe
%TEMP%\compress0\weben.dll
%TEMP%\compress0\rwce.dll
%TEMP%\compress0\rvport.dll
%TEMP%\compress0\rvhost.dll
%TEMP%\compress0\ftin.dll
%TEMP%\compress0\ften.dll
%TEMP%\compress0\ftde.dll
%TEMP%\compress0\emoo.dll
%TEMP%\compress0\emon.dll
%TEMP%\compress0\eminu.dll
%TEMP%\compress0\emine.dll
%TEMP%\compress0\emfzb.dll
%TEMP%\compress0\emfz.dll
%TEMP%\compress0\emdc.dll
%TEMP%\compress0\dunin.dll
%TEMP%\compress0\dete.dll
%TEMP%\compress0\delkl.dll
%TEMP%\compress0\clipsrv.exe
%TEMP%\compress0\ass.dll
%TEMP%\compress0\12355623.ico
%TEMP%\compress0\ftps.dll
%TEMP%\compress0\ftsv.dll
%TEMP%\compress0\ftpa.dll
%TEMP%\compress0\fttx.dll
%TEMP%\compress0\rmdesk.dll
%TEMP%\compress0\ftus.dll
%TEMP%\compress0\resu.dll
%TEMP%\compress0\remlive.exe
%TEMP%\compress0\refsdm.dll
%TEMP%\compress0\rds.exe
%TEMP%\compress0\pwhost.dll
%TEMP%\compress0\port.dll
%TEMP%\compress0\picture.dll
%WINDIR%\refsdm.dll
%ProgramFiles%\accessories\common\29 jan 25 13_38_03 user .tcm
%TEMP%\compress0\mailsc.dll
%TEMP%\compress0\mailkl.dll
%TEMP%\compress0\mail.dll
%TEMP%\compress0\live.exe
%TEMP%\compress0\inuser.dll
%TEMP%\compress0\inter.dll
%TEMP%\compress0\inmsg.dll
%TEMP%\compress0\hpvert.dll
%TEMP%\compress0\oem.dll
%ProgramFiles%\accessories\common\loststolenpc.txt

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\hpvert.dll

Сетевая активность

Подключается к

'17#.#38.173.178':17173
'gmail-smtp-in.l.google.com':25
'17#.#38.173.178':17171
'17#.#38.173.178':17175
'67.##5.111.54':14001
'wh###smyip.com':80
'wh###smyip.com':443

TCP

Запросы HTTP GET

http://wh###smyip.com/automation/n09230945.asp

Другие

'wh###smyip.com':443

UDP

DNS ASK gm##l.com
DNS ASK gmail-smtp-in.l.google.com
DNS ASK wh###smyip.com

Другое

Ищет следующие окна

ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
ClassName: 'IEFrame' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\compress0\clipsrv.exe'
'%ProgramFiles(x86)%\satacontrol\live.exe'
'%ProgramFiles(x86)%\satacontrol\cmss.exe'
'%ProgramFiles(x86)%\satacontrol\services32.exe'
'%ProgramFiles(x86)%\satacontrol\rds.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c echo y| CACLS C:\PROGRA~2\SATACO~1 /G Everyone:f (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
'%WINDIR%\syswow64\cacls.exe' C:\PROGRA~2\SATACO~1 /G Everyone:f
'%WINDIR%\syswow64\cmd.exe' /c echo y| CACLS C:\PROGRA~1\ACCESS~1\Common /G Everyone:f (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' C:\PROGRA~1\ACCESS~1\Common /G Everyone:f
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%ProgramFiles(x86)%\satacontrol\...
'%WINDIR%\syswow64\ipconfig.exe'