Trojan.MulDrop5.6109

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Bluetooth Software' = '"%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\BtvStack.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'CTFMon' = '"%CommonProgramFiles%\Microsoft Shared\MSInfo\ctfmon.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Apple Push' = '"%PROGRAM_FILES%\FireFox\chrome\en-US\locale\browser\places\APSDaemon.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RDP Clip Monitor' = '"%APPDATA%\Microsoft\Windows\rdpclip.exe"'

Создает или изменяет следующие файлы:

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 9 /TN "CTFMon" /TR "\"%CommonProgramFiles%\Microsoft Shared\MSInfo\ctfmon.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /SC ONLOGON /TN "Windows Desktop Gadgets" /TR "\"%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\aero\browser\sidebar.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 22 /TN "Bluetooth Software" /TR "\"%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\BtvStack.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 32 /TN "Apple Push" /TR "\"%PROGRAM_FILES%\FireFox\chrome\en-US\locale\browser\places\APSDaemon.exe\""
'<SYSTEM32>\schtasks.exe' /CREATE /F /RL HIGHEST /SC MINUTE /MO 35 /TN "RDP Clip Monitor" /TR "\"%APPDATA%\Microsoft\Windows\rdpclip.exe\""

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\aero\browser\~lhnrlzy.tmp
%CommonProgramFiles%\Microsoft Shared\MSInfo\ctfmon.exe
%CommonProgramFiles%\Microsoft Shared\MSInfo\~tvpjsuv.tmp
%PROGRAM_FILES%\FireFox\chrome\toolkit\skin\classic\aero\global\media\commh32.exe
%PROGRAM_FILES%\FireFox\chrome\toolkit\skin\classic\aero\global\media\~heirnvv.tmp
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\aero\browser\sidebar.exe
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\BtvStack.exe
%PROGRAM_FILES%\FireFox\chrome\en-US\locale\browser\places\APSDaemon.exe
%PROGRAM_FILES%\FireFox\chrome\en-US\locale\browser\places\~ucscipu.tmp
%APPDATA%\Mozilla\Firefox\plugin-container.exe
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\~tmnhbhy.tmp
%APPDATA%\Microsoft\Windows\rdpclip.exe
%APPDATA%\Microsoft\Windows\~kviuhfq.tmp

Удаляет следующие файлы:

%CommonProgramFiles%\Microsoft Shared\MSInfo\ctfmon.exe
%CommonProgramFiles%\Microsoft Shared\MSInfo\~tvpjsuv.tmp
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\BtvStack.exe
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\aero\browser\~lhnrlzy.tmp
%PROGRAM_FILES%\FireFox\chrome\toolkit\skin\classic\aero\global\media\commh32.exe
%PROGRAM_FILES%\FireFox\chrome\toolkit\skin\classic\aero\global\media\~heirnvv.tmp
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\aero\browser\sidebar.exe
%PROGRAM_FILES%\FireFox\chrome\en-US\locale\browser\places\~ucscipu.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\plugin-container.exe
%APPDATA%\Mozilla\Firefox\plugin-container.exe
%PROGRAM_FILES%\FireFox\chrome\en-US\locale\browser\places\APSDaemon.exe
%PROGRAM_FILES%\FireFox\chrome\browser\skin\classic\~tmnhbhy.tmp
%APPDATA%\Microsoft\Windows\rdpclip.exe
%APPDATA%\Microsoft\Windows\~kviuhfq.tmp