Trojan.MulDrop5.7059

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Windows Hotfix' = '<SYSTEM32>\hotfix\hotfix.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Windows service' = '<SYSTEM32>\wservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Windows Hotfix' = '<SYSTEM32>\hotfix\hotfix.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '<SYSTEM32>\wservice.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Windows Hotfix' = '<SYSTEM32>\hotfix\hotfix.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Hotfix' = '<SYSTEM32>\hotfix\hotfix.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\hotfix\hotfix.exe'

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +R +A +S +H <SYSTEM32>\oemlogo.bmp
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartMenu\StartPanel\ShowOEMLink" /f /v "NoOEMLinkInstalled" /t REG_DWORD /d "0"
'<SYSTEM32>\attrib.exe' +R +A +S +H <SYSTEM32>\oeminfo.ini
'<SYSTEM32>\find.exe' /i "5.2."
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /f /v "Window Title" /d " ║ь╔л┐ь│╡╡ч─╘╫и╨▐ ╡ч╗░:13958221560/13186867766"
'<SYSTEM32>\reg.exe' add "HKEY_CLASSES_ROOT\CLSID\{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /f /v "Command" /d "╨┬╜ї╡ч─╘ 16─ъ╝╝╩ї2000╢р╝╥┐═╗з╗¤└█"
'<SYSTEM32>\reg.exe' add "HKEY_CLASSES_ROOT\CLSID\{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}\Instance\InitPropertyBag" /f /v "Param1" /d "<SYSTEM32>\hotfix\xinjin.lnk"
'<SYSTEM32>\reg.exe' add "HKEY_CLASSES_ROOT\CLSID\{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}\DefaultIcon" /f /ve /d "<SYSTEM32>\oem.ico"
'<SYSTEM32>\reg.exe' add "HKEY_CLASSES_ROOT\CLSID\{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}" /f /ve /d "╨┬╜ї╡ч─╘ ╫и╥╡╡ч─╘╬м╨▐"
'<SYSTEM32>\reg.exe' add "HKEY_CLASSES_ROOT\CLSID\{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}" /f /v "InfoTip" /d "╨┬╜ї╡ч─╘ 16─ъ╝╝╩ї2000╢р╝╥┐═╗з╗¤└█ ╡ч╗░г║13958221560/13186867766"
'<SYSTEM32>\find.exe' /i "5.1."
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "Windows Hotfix" /d "<SYSTEM32>\hotfix\hotfix.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" /f /v "Windows Hotfix" /d "<SYSTEM32>\hotfix\hotfix.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run" /f /v "Windows Hotfix" /d "<SYSTEM32>\hotfix\hotfix.exe"
'<SYSTEM32>\services.exe' and Controller app Services and Controller app Microsoft Corporation REM QBFC Project Options Begin
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /f /v "load" /d "<SYSTEM32>\wservice.exe"
'<SYSTEM32>\find.exe' /i "hotfix"
'<SYSTEM32>\find.exe' /i "5.0."
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx" /f /v "Windows Hotfix" /d "<SYSTEM32>\hotfix\hotfix.exe"
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run" /f /v "Windows service" /d "<SYSTEM32>\wservice.exe"
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" /f /v "Windows Hotfix" /d "<SYSTEM32>\hotfix\hotfix.exe"