Trojan.MulDrop5.26418

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\BDRemovalTool\BDRemovalTool.exe'

Запускает на исполнение:

'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\runonce.exe' -r

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtTerminateProcess, драйвер-обработчик: protecter.sys
NtOpenThread, драйвер-обработчик: protecter.sys
NtOpenProcess, драйвер-обработчик: protecter.sys

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\BDRemovalTool\plugins\alz.xmd
%TEMP%\BDRemovalTool\plugins\arc.xmd
%TEMP%\BDRemovalTool\plugins\ace.xmd
%TEMP%\BDRemovalTool\plugins\html.xmd
%TEMP%\BDRemovalTool\plugins\7zip.xmd
%TEMP%\BDRemovalTool\plugins\arj.xmd
%TEMP%\BDRemovalTool\plugins\gzip.xmd
%TEMP%\BDRemovalTool\plugins\imp.xmd
%TEMP%\BDRemovalTool\plugins\dbx.xmd
%TEMP%\BDRemovalTool\plugins\cab.xmd
%TEMP%\BDRemovalTool\plugins\cpio.xmd
%TEMP%\BDRemovalTool\plugins\unpack.ivd
%TEMP%\BDRemovalTool\plugins\ceva_dll.cvd
%TEMP%\BDRemovalTool\plugins\unpack.cvd
%TEMP%\BDRemovalTool\plugins\cran.xmd
%TEMP%\BDRemovalTool\plugins\unpack.xmd
%TEMP%\BDRemovalTool\plugins\ceva_emu.cvd
%TEMP%\BDRemovalTool\plugins\jpeg.cvd
%TEMP%\BDRemovalTool\plugins\jpeg.xmd
%TEMP%\BDRemovalTool\plugins\update.txt
%TEMP%\BDRemovalTool\plugins\ceva_vfs.cvd
%TEMP%\BDRemovalTool\plugins\ceva_vfs.ivd
%TEMP%\BDRemovalTool\plugins\inno.xmd
%TEMP%\BDRemovalTool\trufos.dll
%TEMP%\BDRemovalTool\bdardrv.dll
%TEMP%\BDRemovalTool\plugins\gvmscripts.cvd
%TEMP%\BDRemovalTool\plugins\zip.xmd
%TEMP%\BDRemovalTool\scan.dll
%TEMP%\BDRemovalTool\avxdisk.dll
<DRIVERS>\SET6.tmp
%TEMP%\BDRemovalTool\bdremoval.log
%WINDIR%\inf\oem4.PNF
%TEMP%\trufos.dll
%WINDIR%\inf\oem4.inf
%TEMP%\BDRemovalTool\plugins\nsis.xmd
%TEMP%\BDRemovalTool\plugins\rar.xmd
%TEMP%\BDRemovalTool\plugins\mime.xmd
%TEMP%\BDRemovalTool\plugins\instyler.xmd
%TEMP%\BDRemovalTool\plugins\lha.xmd
%TEMP%\BDRemovalTool\plugins\rpm.xmd
%TEMP%\BDRemovalTool\plugins\wise.xmd
%TEMP%\BDRemovalTool\plugins\xar.xmd
%TEMP%\BDRemovalTool\plugins\uif.xmd
%TEMP%\BDRemovalTool\plugins\sfx.xmd
%TEMP%\BDRemovalTool\plugins\tar.xmd
%TEMP%\BDRemovalTool\bdcore.dll
%TEMP%\BDRemovalTool\plugins\orice.rvd
%TEMP%\BDRemovalTool\htmlayout.dll
<DRIVERS>\SET3.tmp
%TEMP%\BDRemovalTool\BDRemovalTool.exe
%TEMP%\BDRemovalTool\plugins\xlmrd.ivd
%TEMP%\BDRemovalTool\plugins\cevakrnl.xmd
%TEMP%\BDRemovalTool\plugins\cevakrnl.rvd
%TEMP%\BDRemovalTool\plugins\aspy_emu.cvd
%TEMP%\BDRemovalTool\plugins\xlmrd.cvd
%TEMP%\BDRemovalTool\plugins\boot.xmd
%TEMP%\BDRemovalTool\avisfltr.sys
%TEMP%\BDRemovalTool\protecter.sys
%TEMP%\BDRemovalTool\avisfltr.inf
%TEMP%\BDRemovalTool\trufosalt.inf
%TEMP%\BDRemovalTool\trufosalt.sys
%TEMP%\BDRemovalTool\config.ini
%WINDIR%\inf\oem3.inf
%WINDIR%\inf\oem3.PNF
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\23ab6b46-d02d-4c80-bd14-d63cd1fd0cc9
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv0
%TEMP%\BDRemovalTool\plugins\emalware.c03
%TEMP%\BDRemovalTool\plugins\emalware.c04
%TEMP%\BDRemovalTool\plugins\emalware.c02
%TEMP%\BDRemovalTool\plugins\emalware.c00
%TEMP%\BDRemovalTool\plugins\emalware.c01
%TEMP%\BDRemovalTool\plugins\emalware.c05
%TEMP%\BDRemovalTool\plugins\cran.cvd
%TEMP%\BDRemovalTool\plugins\cran.ivd.1
%TEMP%\BDRemovalTool\plugins\emalware.xmd
%TEMP%\BDRemovalTool\plugins\emalware.c06
%TEMP%\BDRemovalTool\plugins\emalware.c07
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv4
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv5
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv3
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv1
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv2
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv6
%TEMP%\BDRemovalTool\plugins\cevakrnl.cvd
%TEMP%\BDRemovalTool\plugins\cevakrnl.ivd
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv9
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv7
%TEMP%\BDRemovalTool\plugins\cevakrnl.rv8