Trojan.MulDrop5.8395

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '<SYSTEM32>\BlackScreen.scr'
[<HKLM>\TESTHIVE\Control Panel\Desktop] 'SCRNSAVE.EXE' = '<SYSTEM32>\BlackScreen.scr'

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\Google Updater.job

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\Google\Common\GoogleService.exe'
'<Текущая директория>\screen.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKLM\testhive\Control Panel\Desktop" /v ScreenSaveActive /d 1 /f
'<SYSTEM32>\reg.exe' add "HKLM\testhive\Control Panel\Desktop" /v SCRNSAVE.EXE /d "<SYSTEM32>\BlackScreen.scr" /f
'<SYSTEM32>\reg.exe' load hklm\testhive "C:\Documents and Settings\LocalService\ntuser.dat"
'<SYSTEM32>\reg.exe' add "HKLM\testhive\Control Panel\Desktop" /v ScreenSaveTimeOut /d 300 /f
'<SYSTEM32>\reg.exe' load hklm\testhive "C:\Documents and Settings\Default User\ntuser.dat"
'<SYSTEM32>\reg.exe' load hklm\testhive "%ALLUSERSPROFILE%\ntuser.dat"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\3.tmp\GoogleService.cmd" "
'<SYSTEM32>\reg.exe' unload hklm\testhive
'<SYSTEM32>\reg.exe' query "HKLM\testhive\Control Panel\Desktop" /v Wallpaper
'<SYSTEM32>\reg.exe' load hklm\testhive "C:\Documents and Settings\NetworkService\ntuser.dat"
'<SYSTEM32>\reg.exe' add "HKU\.DEFAULT\Control Panel\Desktop" /v SCRNSAVE.EXE /d "<SYSTEM32>\BlackScreen.scr" /f
'<SYSTEM32>\reg.exe' add "HKEY_USERS\S-1-5-21-2052111302-484763869-725345543-1003\Control Panel\Desktop" /v ScreenSaveTimeOut /d 300 /f
'<SYSTEM32>\reg.exe' add "HKU\.DEFAULT\Control Panel\Desktop" /v ScreenSaveTimeOut /d 300 /f
'<SYSTEM32>\reg.exe' add "HKU\.DEFAULT\Control Panel\Desktop" /v ScreenSaveActive /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_USERS\S-1-5-21-2052111302-484763869-725345543-1003\Control Panel\Desktop" /v ScreenSaveActive /d 1 /f
'<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList"
'<SYSTEM32>\reg.exe' load hklm\testhive "%HOMEPATH%\ntuser.dat"
'<SYSTEM32>\reg.exe' add "HKEY_USERS\S-1-5-21-2052111302-484763869-725345543-1003\Control Panel\Desktop" /v SCRNSAVE.EXE /d "<SYSTEM32>\BlackScreen.scr" /f
'<SYSTEM32>\find.exe' "S-1-5-21"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\screen.cmd" "
'<SYSTEM32>\wscript.exe' //b reg7.vbs
'<SYSTEM32>\taskkill.exe' /f /im IntelControl.exe
'<SYSTEM32>\schtasks.exe' /Create /ru SYSTEM /SC ONLOGON /TN "Google Updater" /TR %WINDIR%\Google\Common\GoogleService.exe
'<SYSTEM32>\schtasks.exe' /Create /ru SYSTEM /SC ONLOGON /TN "Google Updater" /TR %WINDIR%\Google\Common\GoogleService.exe /F
'<SYSTEM32>\taskkill.exe' /f /im IntelControlCenter.exe
'<SYSTEM32>\taskkill.exe' /f /im SearchIndexer.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\inst64.cmd" "
'<SYSTEM32>\taskkill.exe' /f /im GoogleService.exe
'<SYSTEM32>\taskkill.exe' /f /im GoogleUpdater.exe
'<SYSTEM32>\wscript.exe' //b regxp.vbs
'<SYSTEM32>\xcopy.exe' IntelControl.exe "%WINDIR%\Intel\" /C /R /Y
'<SYSTEM32>\xcopy.exe' zlib1.dll "%WINDIR%\Google\Common\" /C /R /Y
'<SYSTEM32>\xcopy.exe' screen.dll "%WINDIR%\Google\Common\" /C /R /Y
'<SYSTEM32>\xcopy.exe' IntelControl.ini "%WINDIR%\Intel\" /C /R /Y
'<SYSTEM32>\xcopy.exe' pthreadGC2.dll "%WINDIR%\Google\Common\" /C /R /Y
'<SYSTEM32>\xcopy.exe' GoogleUpdate.exe "%WINDIR%\Google\Common\" /C /R /Y
'<SYSTEM32>\xcopy.exe' GoogleUpdater.exe "%WINDIR%\Google\Common\" /C /R /Y
'<SYSTEM32>\xcopy.exe' libcurl.dll "%WINDIR%\Google\Common\" /C /R /Y
'<SYSTEM32>\xcopy.exe' GoogleService.exe "%WINDIR%\Google\Common\" /C /R /Y