Trojan.MulDrop5.33730

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'C:\Temp\ClnExtor\Autopccp.exe' -v
'%TEMP%\OSCANNT\oscm1wNT.exe'

Запускает на исполнение:

'<SYSTEM32>\ntvdm.exe' -f -i1 -w -a <SYSTEM32>\krnl386.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\Temp\ClnExtor\PCCNT\Disk1\SETUP.BMP
C:\Temp\ClnExtor\PCCNT\Disk1\os.dat
C:\Temp\ClnExtor\PCCNT\Disk1\setup.ins
C:\Temp\ClnExtor\PCCNT\Disk1\SETUP.INI
C:\Temp\ClnExtor\PCCNT\Disk1\lang.dat
C:\Temp\ClnExtor\PCCNT\Disk1\install.exe
C:\Temp\ClnExtor\PCCNT\Disk1\ofcscan.ini
C:\Temp\ClnExtor\PCCNT\Disk1\layout.bin
C:\Temp\ClnExtor\PCCNT\Disk1\_SETUP.DLL
C:\Temp\ClnExtor\PCCNT\Disk1\_ISDEL.EXE
C:\Temp\ClnExtor\PCCNT\Disk1\_user1.cab
C:\Temp\ClnExtor\PCCNT\Disk1\_sys1.cab
C:\Temp\ClnExtor\PCCNT\Disk1\setup.lid
C:\Temp\ClnExtor\PCCNT\Disk1\SETUP.ISS
C:\Temp\ClnExtor\PCCNT\Disk1\_INST32I.EX_
C:\Temp\ClnExtor\PCCNT\Disk1\setup.pdf
C:\Temp\ClnExtor\PCCNT\Disk1\data1.cab
C:\Temp\ClnExtor\PCCNT\Common\TmdShell.dll
C:\Temp\ClnExtor\PCCNT\Common\REGSVR32.EXE
C:\Temp\ClnExtor\PCCNT\Common\TmOPP.dll
C:\Temp\ClnExtor\PCCNT\Common\TmListen.exe
C:\Temp\ClnExtor\PCCNT\Common\PccNTUpd.exe
C:\Temp\ClnExtor\PCCNT\Common\PccNTMon.exe
C:\Temp\ClnExtor\PCCNT\Common\Pwd.dll
C:\Temp\ClnExtor\PCCNT\Common\PSAPI.DLL
C:\Temp\ClnExtor\PCCNT\Common\WININET.DLL
C:\Temp\ClnExtor\PCCNT\Common\Upgrade.exe
C:\Temp\ClnExtor\PCCNT\Disk1\DATA.TAG
C:\Temp\ClnExtor\PCCNT\Common\XPUpg.exe
C:\Temp\ClnExtor\PCCNT\Common\TmSock.dll
C:\Temp\ClnExtor\PCCNT\Common\TmOpp.ini
C:\Temp\ClnExtor\PCCNT\Common\UpdGuide.exe
C:\Temp\ClnExtor\PCCNT\Common\UNINSTNT.INI
C:\Temp\ClnExtor\PCCNT\Drv\TM_CFW.sys
C:\Temp\ClnExtor\Engine\tmCfwApi.dll
C:\Temp\ClnExtor\ADMIN\TSC.exe
C:\Temp\ClnExtor\ADMIN\TSC.ini
C:\Temp\ClnExtor\alertcfw.msg
C:\Temp\ClnExtor\ADMIN\tmuninst.dll
C:\Temp\ClnExtor\ADMIN\tmuninst.exe
C:\Temp\ClnExtor\ADMIN\tmun
C:\Temp\ClnExtor\ADMIN\tmuninst.ptn
C:\Temp\ClnExtor\tmdbg20.dll
C:\Temp\ClnExtor\tmf10225.ptn
%WINDIR%\Temp\scs5.tmp
%WINDIR%\Temp\scs4.tmp
C:\Temp\ClnExtor\ADMIN\TMADCE.ptn
C:\Temp\ClnExtor\ADMIN\TSC.ptn
C:\Temp\ClnExtor\TMAPTN.293
C:\Temp\ClnExtor\LPT$VPN.863
C:\Temp\ClnExtor\Engine\VScanWin32.Com
C:\Temp\ClnExtor\PCCNT\ntreg.reg
C:\Temp\ClnExtor\PCCNT\NTMonRes.dll
C:\Temp\ClnExtor\PCCNT\NTRtScan.exe
C:\Temp\ClnExtor\PCCNT\NTRmvRC.dll
C:\Temp\ClnExtor\PCCNT\Drv\tmpreflt.sys
C:\Temp\ClnExtor\PCCNT\Drv\TmFilter.sys
C:\Temp\ClnExtor\PCCNT\Drv\vsapiNT.sys
C:\Temp\ClnExtor\PCCNT\Drv\TmXPFlt.sys
C:\Temp\ClnExtor\Engine\BPMNT.dll
C:\Temp\ClnExtor\PCCNT\SvcMgr.dll
C:\Temp\ClnExtor\Engine\MEMBOOT.dll
C:\Temp\ClnExtor\Engine\Vsapi32.dll
C:\Temp\ClnExtor\PCCNT\PCC-NT.HLP
C:\Temp\ClnExtor\PCCNT\PCC-NT.cnt
C:\Temp\ClnExtor\PCCNT\Readme.txt
C:\Temp\ClnExtor\PCCNT\PccNTRes.dll
C:\Temp\ClnExtor\PCCNT\Common\PccNT.exe
C:\Temp\ClnExtor\ADMIN\PATCH.EXE
C:\Temp\ClnExtor\ADMIN\loadhttp.dll
C:\Temp\ClnExtor\ADMIN\TmUpdate.dll
C:\Temp\ClnExtor\ADMIN\patchw32.dll
C:\Temp\ClnExtor\ADMIN\ActSup.dll
C:\Temp\ClnExtor\ADMIN\ASupport.DLL
C:\Temp\ClnExtor\ADMIN\Psapi.dll
C:\Temp\ClnExtor\ADMIN\Ptnutil.dll
C:\Temp\ClnExtor\ADMIN\OSCETSCLog.dll
C:\Temp\ClnExtor\OfcScan.ini
C:\Temp\ClnExtor\Download\OfcPfw.dat
C:\Temp\ClnExtor\ADMIN\TimeString.dll
C:\Temp\ClnExtor\ADMIN\ZLib.dll
C:\Temp\ClnExtor\ADMIN\unzip.dll
C:\Temp\ClnExtor\alert.msg
C:\Temp\ClnExtor\ADMIN\Instreg.exe
C:\Temp\ClnExtor\ADMIN\ASupport.exe
%TEMP%\~GLH0004.TMP
%TEMP%\~GLH0003.TMP
%TEMP%\~GLH0006.TMP
%TEMP%\~GLH0005.TMP
%TEMP%\~GLH0000.TMP
%TEMP%\GLC1.tmp
%TEMP%\~GLH0002.TMP
%TEMP%\~GLH0001.TMP
C:\Temp\ClnExtor\ClnExtor.ini
%TEMP%\OSCANNT\OFCSCAN.INI
C:\Temp\ClnExtor\ADMIN\tmdbg20.dll
C:\Temp\ClnExtor\OfcZip.Zip
%PROGRAM_FILES%\OfficeScan NT\OSCANSBS.LOG
%TEMP%\~GLH0007.TMP
%TEMP%\OSCANNT\~GLH0008.TMP
%PROGRAM_FILES%\OfficeScan NT\~GLBS383.TMP
C:\Temp\ClnExtor\tmCfwApi.dll
C:\Temp\ClnExtor\PCCNT\Common\OfcDog.dll
C:\Temp\ClnExtor\PCCNT\Common\NTRmv.exe
C:\Temp\ClnExtor\PCCNT\Common\OfcPfw.dat
C:\Temp\ClnExtor\PCCNT\Common\OfcDog.exe
C:\Temp\ClnExtor\PCCNT\Common\INETWH32.dll
C:\Temp\ClnExtor\PCCNT\Common\DWIoTrapNT.dll
C:\Temp\ClnExtor\PCCNT\Common\loadhttp.dll
C:\Temp\ClnExtor\PCCNT\Common\libTmCAV.dll
C:\Temp\ClnExtor\PCCNT\Common\OfcPluginTray.dll
C:\Temp\ClnExtor\PCCNT\Common\OfcPlugInMain.dll
C:\Temp\ClnExtor\PCCNT\Common\OsceProt.dll
C:\Temp\ClnExtor\PCCNT\Common\OLEPRO32.DLL
C:\Temp\ClnExtor\PCCNT\Common\OfcPfwSvc.exe
C:\Temp\ClnExtor\PCCNT\Common\OfcPfwCommon.dll
C:\Temp\ClnExtor\PCCNT\Common\OfcPlugInAPI.dll
C:\Temp\ClnExtor\PCCNT\Common\OfcPIPC.dll
C:\Temp\ClnExtor\DelayRun.up
C:\Temp\ClnExtor\Autopcc.MSG
C:\Temp\ClnExtor\Autopccp.exe
C:\Temp\ClnExtor\Autopcc.cfg\AP954W.INI
C:\Temp\ClnExtor\Autopcc.cfg\Ap95.ini
C:\Temp\ClnExtor\ZLib.dll
C:\Temp\ClnExtor\OfcPfwCommon.dll
C:\Temp\ClnExtor\ADMIN\SpywareList.ini
C:\Temp\ClnExtor\ous.ini
C:\Temp\ClnExtor\Autopcc.cfg\AUTOPCC.INI
C:\Temp\ClnExtor\Autopcc.cfg\APNT_X64.INI
C:\Temp\ClnExtor\Autopcc.cfg\Update.ini
C:\Temp\ClnExtor\Autopcc.cfg\Component.ini
C:\Temp\ClnExtor\Autopcc.cfg\ApNT.ini
C:\Temp\ClnExtor\Autopcc.cfg\APDOS4W.INI
C:\Temp\ClnExtor\Autopcc.cfg\APNT_IA64.INI
C:\Temp\ClnExtor\Autopcc.cfg\APNT4W.INI

Удаляет следующие файлы:

%PROGRAM_FILES%\OfficeScan NT\OSCANSBS.LOG

Перемещает следующие файлы:

%TEMP%\~GLH0006.TMP в %TEMP%\setup.ini
%TEMP%\~GLH0005.TMP в %TEMP%\uninst22.exe
%TEMP%\~GLH0007.TMP в %TEMP%\modireg.exe
%TEMP%\OSCANNT\~GLH0008.TMP в %TEMP%\OSCANNT\oscm1wNT.exe
%PROGRAM_FILES%\OfficeScan NT\~GLBS383.TMP в %PROGRAM_FILES%\OfficeScan NT\OSCANSBS.LOG
%TEMP%\~GLH0001.TMP в %TEMP%\WISEMIF.dll
%TEMP%\~GLH0000.TMP в %TEMP%\GLF3.tmp
%TEMP%\~GLH0002.TMP в %TEMP%\psapi.dll
%TEMP%\~GLH0004.TMP в %TEMP%\DelFSec.exe
%TEMP%\~GLH0003.TMP в %TEMP%\CheckSetup.exe