Trojan.MulDrop5.46312

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'djtopr1150.exe' = '"%TEMP%\djtopr1150.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WebRebates0' = '%PROGRAM_FILES%\Web_Rebates\WebRebates0.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'eZstub' = '<SYSTEM32>\ezStub.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\InstaFinder_inst.exe'
'%PROGRAM_FILES%\Web_Rebates\WebRebates0.exe'
'<SYSTEM32>\MegasearchBarSetup.exe'
'%PROGRAM_FILES%\Web_Rebates\WebRebates1.exe'
'<SYSTEM32>\WebRebates_Broadspring1_InstallAS.exe'
'<SYSTEM32>\TVM_B5_Bundle_34.EXE'
'<SYSTEM32>\14yf08fg.exe'
'%TEMP%\i1.tmp' 378
'%TEMP%\tvmupdater.exe' /silentinstall 378
'<SYSTEM32>\ezStub.exe'
'%TEMP%\tvmupdater.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\ATPartners.dll"

Ищет следующие окна с целью

обнаружения различных программ и игр:

ClassName: 'AOL Frame25' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\f_spec1150c_ub.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\f_spec1150c_rb.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\popo1150c.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\remv1150c.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\pref1150c.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\f_popo1150c_ub.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Sy1150\1150_2.dat
%PROGRAM_FILES%\Web_Rebates\Sy1150\Sy1150\1150_1.dat
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\foot1150c_rb.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\f_popo1150c_rb.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\foot1150c_ub.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\scri1150a.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_pop_circles.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_hdr_settings_toprebates.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_pop_circles_bg2.gif
%TEMP%\MegasearchBarSetup.exe
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_warning.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_hdr_settings.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\p.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Html\spec1150c.htm
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_envelope.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_hdr_autotrack_remove.gif
%PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_c_footer.gif
%TEMP%\nsr3.tmp
%TEMP%\tvmupdater.exe
%TEMP%\nsm4.tmp\nsisdl.dll
%TEMP%\nsh6.tmp
<SYSTEM32>\MegasearchBarSetup.exe
<SYSTEM32>\InstaFinder_inst.exe
<SYSTEM32>\ATPartners.dll
<SYSTEM32>\14yf08fg.exe
<SYSTEM32>\TVM_B5_Bundle_34.EXE
<SYSTEM32>\ezStub.exe
%TEMP%\i1.tmp
%TEMP%\nsm7.tmp\nsisdl.dll
%PROGRAM_FILES%\Web_Rebates\README.txt
%PROGRAM_FILES%\Web_Rebates\disp1150.exe
%PROGRAM_FILES%\Web_Rebates\Ap1150\psid1161.dat
%PROGRAM_FILES%\Web_Rebates\Sy1150\Sy1150\1150_0.dat
%PROGRAM_FILES%\Web_Rebates\Ap1150\topr1150.dat
%PROGRAM_FILES%\Web_Rebates\WebRebates0.exe
<SYSTEM32>\WebRebates_Broadspring1_InstallAS.exe
%TEMP%\InstaFinder_inst.exe
%TEMP%\jkill.exe
%PROGRAM_FILES%\Web_Rebates\WebRebates1.exe
%TEMP%\djtopr1150.exe

Удаляет следующие файлы:

%TEMP%\MegasearchBarSetup.exe
%TEMP%\nsm7.tmp\nsisdl.dll
%TEMP%\InstaFinder_inst.exe
%TEMP%\nsm4.tmp\nsisdl.dll

Сетевая активность:

Подключается к:

'www.in###finder.com':80
'www.me####archbar.com':80
'www.to####elocity.com':80
'www.ez##a.com':80

TCP:

Запросы HTTP GET:

www.in###finder.com/404/install/InstaFinder.exe
www.me####archbar.com/toolbar/MegasearchBar.exe
www.to####elocity.comhttp://www.totalvelocity.com/Bundling/TvmUpdater4bp5.exe?ve#######################################
www.ez##a.com/MindSet5/download/UVid.asp?Pu##################################################

UDP: