Trojan.MulDrop.19709

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Г€В¤ГЌГ¦Г“ГЋГЏВ·' = 'D:\È¤ÍæÓÎÏ·\7wangame.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop SharedAccess
'%WINDIR%\syswow64\net.exe' stop wscsvc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ixp000.tmp\04.exe
%TEMP%\ixp000.tmp\gameer.exe
%WINDIR%\syswow64\syste1.dll
%TEMP%\is-t261e.tmp\gameer.exe.tmp
%TEMP%\is-ihbet.tmp\_isetup\_regdll.tmp
%TEMP%\is-ihbet.tmp\_isetup\_setup64.tmp
%TEMP%\is-ihbet.tmp\_isetup\_shfoldr.dll
%TEMP%\is-ihbet.tmp\_isetup\_isdecmp.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-bf7k0.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-k01ro.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-pjg9o.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-30ok0.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-tbasd.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-b6pgm.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-53b9d.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-tdn57.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-0jphg.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-smgl4.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-r846k.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-1rdqa.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-g8da1.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-bsvqr.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-jgdq6.tmp
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-t3if2.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ГЁВ¤ГГ¦ГГё-7wan.com\ГЁВ¤ГГ¦ГіГ®ГЇВ·.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ГЁВ¤ГГ¦ГГё-7wan.com\ГЁВ¤ГГ¦ГГё.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ГЁВ¤ГГ¦ГГё-7wan.com\Г°В¶ГґГёГЁВ¤ГГ¦ГіГ®ГЇВ·.lnk
%HOMEPATH%\desktop\ГЁВ¤ГГ¦ГіГ®ГЇВ·.lnk
%HOMEPATH%\desktop\ГЁВ¤ГГ¦ГГё.lnk

Перемещает следующие файлы

D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-bf7k0.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\7wangame.exe
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-k01ro.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\comservice.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-pjg9o.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\download.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-30ok0.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\logo.ico
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-tbasd.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\mfc71.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-b6pgm.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\msvcp71.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-53b9d.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\msvcr71.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-tdn57.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\offline.html
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-0jphg.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\offlinel.html
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-smgl4.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\skincontrols.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-r846k.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\socketmodule.dll
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\is-1rdqa.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\ГЁВ¤ГГ¦ГГё.lnk
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-g8da1.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\bg.jpg
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-bsvqr.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\loading-s.gif
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-jgdq6.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\loading.gif
D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\is-t3if2.tmp в D:\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\platformbg.jpg

Другое

Ищет следующие окна

ClassName: '7WanGame' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\ixp000.tmp\04.exe'
'%TEMP%\ixp000.tmp\gameer.exe'
'%TEMP%\is-t261e.tmp\gameer.exe.tmp' /SL5="$80278,1134897,51200,%TEMP%\IXP000.TMP\gameer.exe"

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c net stop wscsvc (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net stop SharedAccess (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc config sharedaccess start=disabled (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config sharedaccess start=disabled
'%WINDIR%\syswow64\net1.exe' stop SharedAccess
'%WINDIR%\syswow64\net1.exe' stop wscsvc
'%TEMP%\ixp000.tmp\04.exe' (со скрытым окном)
'%TEMP%\ixp000.tmp\gameer.exe' (со скрытым окном)