Trojan.MulDrop5.2561

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Service Monitor' = '<SYSTEM32>\Debugger\svchost.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'%TEMP%\Dracula Virьs Temizleyici V 3.2.exe'
'<SYSTEM32>\Debugger\Attr.exe' doit
'<SYSTEM32>\Debugger\ScreenCapture.exe' 1
'<SYSTEM32>\Debugger\svchost.exe'
'<SYSTEM32>\Debugger\Bridge.exe'
'<SYSTEM32>\decomp.exe' aosmtp.dll
'<SYSTEM32>\Debugger\decomp.exe' /all
'<SYSTEM32>\Debugger\Script.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Security Center" /v UpdatesDisableNotify /t REG_DWORD /d 0x1 /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Security Center" /v AntiVirusOverride /t REG_DWORD /d 0x1 /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Security Center" /v FirewallDisableNotify /t REG_DWORD /d 0x1 /f
'<SYSTEM32>\net1.exe' stop wscsvc
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Security Center" /v AntiVirusDisableNotify /t REG_DWORD /d 0x1 /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Security Center" /v FirewallOverride /t REG_DWORD /d 0x1 /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\wscntfy" /v Start /t REG_DWORD /d 0x4 /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\MpsSvc" /v Start /t REG_DWORD /d 0x4 /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\wscsvc" /v Start /t REG_DWORD /d 0x4 /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess" /v Start /t REG_DWORD /d 0x4 /f
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /v Start /t REG_DWORD /d 0x4 /f
'<SYSTEM32>\net.exe' stop "Security Center"
'<SYSTEM32>\net1.exe' stop "Security Center"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\Debugger\kill_xp_firewall.bat" "
'<SYSTEM32>\wscript.exe' "<SYSTEM32>\Debugger\gizle.vbs"
'<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\aosmtp.dll"
'<SYSTEM32>\net.exe' stop SharedAccess
'<SYSTEM32>\wscript.exe' "%WINDIR%\FirstUpdate.vbs"
'<SYSTEM32>\net.exe' stop wscsvc
'<SYSTEM32>\net1.exe' stop MpsSvc
'<SYSTEM32>\net1.exe' stop SharedAccess
'<SYSTEM32>\net.exe' stop MpsSvc