Trojan.MulDrop5.6764

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ngwinsvc' = '%APPDATA%\ngwinsvc\proxyguard.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\ngwinsvc\proxyguard.exe' = '%APPDATA%\ngwinsvc\proxyguard.exe:*:Enabled:proxyguard'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\ngwinsvc\nginx.exe' = '%APPDATA%\ngwinsvc\nginx.exe:*:Enabled:nginx'

Создает и запускает на исполнение:

'%APPDATA%\ngwinsvc\nginx.exe'
'%APPDATA%\ngwinsvc\proxyguard.exe'
'%TEMP%\is-6N2P5.tmp\setup.tmp' /SL5="$10108,1285455,56832,%TEMP%\7zS1.tmp\setup.exe" /VERYSILENT
'%TEMP%\7zS1.tmp\qIvAo.exe'
'%TEMP%\7zS1.tmp\setup.exe' /VERYSILENT

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="proxyguard" dir=in protocol=ANY action=allow program="%APPDATA%\ngwinsvc\proxyguard.exe" profile=any enable=yes
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="proxyguard" dir=out protocol=ANY action=allow program="%APPDATA%\ngwinsvc\proxyguard.exe" profile=any enable=yes
'<SYSTEM32>\xcopy.exe' "%TEMP%\7zS1.tmp\proxyguard.ini" "%APPDATA%\ngwinsvc\" /E /C /H /R /Y
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="nginx" dir=out protocol=ANY action=allow program="%APPDATA%\ngwinsvc\nginx.exe" profile=any enable=yes
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\ngwinsvc\nginx.exe" nginx ENABLE ALL
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\ngwinsvc\proxyguard.exe" proxyguard ENABLE ALL
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="nginx" dir=in protocol=ANY action=allow program="%APPDATA%\ngwinsvc\nginx.exe" profile=any enable=yes

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=localhost:47290'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<local>'

Изменения в файловой системе:

Создает следующие файлы: