Trojan.MulDrop5.47676

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'MFC42.dll' = 'regsvr32.exe /s <SYSTEM32>\MFC42.dll'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'OleAut32.dll' = 'regsvr32.exe /s <SYSTEM32>\OleAut32.dll'

Изменяет следующие исполняемые системные файлы:

<SYSTEM32>\msrepl40.dll
<SYSTEM32>\msxbde40.dll
<SYSTEM32>\msrd3x40.dll
<SYSTEM32>\mswdat10.dll
<SYSTEM32>\msrd2x40.dll
<SYSTEM32>\mspbde40.dll
<SYSTEM32>\msexch40.dll
<SYSTEM32>\expsrv.dll
<SYSTEM32>\msltus40.dll
<SYSTEM32>\mstext40.dll
<SYSTEM32>\msexcl40.dll
<SYSTEM32>\stdole2.tlb
<SYSTEM32>\comcat.dll
<SYSTEM32>\asycfilt.dll
<SYSTEM32>\msvbvm60.dll
<SYSTEM32>\olepro32.dll
<SYSTEM32>\msjet40.dll
<SYSTEM32>\vbajet32.dll
<SYSTEM32>\mswstr10.dll
<SYSTEM32>\msjtes40.dll
<SYSTEM32>\msjter40.dll
<SYSTEM32>\msjint40.dll

Заражает следующие исполняемые файлы:

<SYSTEM32>\stdole2.tlb

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\MathTest\Intelligence.exe'
'%TEMP%\irsetup.exe'

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\MathTest\Db.mdb
<SYSTEM32>\suf1A.tmp
<SYSTEM32>\suf19.tmp
%PROGRAM_FILES%\MathTest\Intelligence.exe
<SYSTEM32>\PICN1313.ssm
<SYSTEM32>\PICN13.dll
<SYSTEM32>\fximg50g.ocx
<SYSTEM32>\suf18.tmp
<SYSTEM32>\suf13.tmp
<SYSTEM32>\suf12.tmp
<SYSTEM32>\suf11.tmp
<SYSTEM32>\suf14.tmp
<SYSTEM32>\suf17.tmp
<SYSTEM32>\suf16.tmp
<SYSTEM32>\suf15.tmp
%PROGRAM_FILES%\MathTest\irunin.lng
%PROGRAM_FILES%\MathTest\irunin.dat
%WINDIR%\iun506.exe
%PROGRAM_FILES%\MathTest\irunin.ini
%HOMEPATH%\Desktop\ЗОКИЗСЗК КдгнЙ ЗбЪгбнЗК ЗбНУЗИнЙ.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\ФСЯЙ ЗбФСЮ ЗбГжУШ ббИСгМнЗК\ЗОКИЗСЗК КдгнЙ ЗбЪгбнЗК ЗбНУЗИнЙ.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\ФСЯЙ ЗбФСЮ ЗбГжУШ ббИСгМнЗК\Uninstall ЗОКИЗСЗК КдгнЙ ЗбЪгбнЗК ЗбНУЗИнЙ.lnk
%PROGRAM_FILES%\MathTest\amcompat.tlb
%PROGRAM_FILES%\MathTest\msdxm.ocx
<SYSTEM32>\PICN8213.ssm
<SYSTEM32>\PICN1813.ssm
<SYSTEM32>\FlDbg9c.ocx
%PROGRAM_FILES%\MathTest\nscompat.tlb
<SYSTEM32>\Flash10a.ocx
<SYSTEM32>\NPSWF32.dll
<SYSTEM32>\suf10.tmp
<SYSTEM32>\mscomct2.ocx
<SYSTEM32>\fxlbl50g.ocx
<SYSTEM32>\actskin4.ocx
<SYSTEM32>\COMDLG32.OCX
<SYSTEM32>\suf2.tmp
<SYSTEM32>\mschrt20.ocx
<SYSTEM32>\MSFLXGRD.OCX
%CommonProgramFiles%\Microsoft Shared\DAO\suf1.tmp
%TEMP%\irsetup.dat
%TEMP%\irsetup.uni
%TEMP%\irsetup.exe
%TEMP%\setup1.ttf
%TEMP%\irsetup.ini
%TEMP%\suf5lng.1
%TEMP%\suf5lng.0
<SYSTEM32>\fxtls532.dll
<SYSTEM32>\VB5DB.dll
<SYSTEM32>\sufB.tmp
<SYSTEM32>\sufC.tmp
<SYSTEM32>\sufF.tmp
<SYSTEM32>\sufE.tmp
<SYSTEM32>\sufD.tmp
<SYSTEM32>\sufA.tmp
<SYSTEM32>\suf5.tmp
<SYSTEM32>\suf4.tmp
<SYSTEM32>\suf3.tmp
<SYSTEM32>\suf6.tmp
<SYSTEM32>\suf9.tmp
<SYSTEM32>\suf8.tmp
<SYSTEM32>\suf7.tmp