Trojan.MulDrop5.54622

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ec525f4.exe
C:\ec525f4\ec525f4.exe

Сетевая активность:

Подключается к:

'al#####ofpresence.com':80
'al####eshelpt.nl':80
'sw#####angzdesserts.com':80
'od###oup.com':80
'ap###ere.com':80
'40####opping.com':80
'ba###o.spb.ru':80
'al##ehr.com':80
'am######familyenergy.com':80
'bu##ime.by':80
'am###gan.net':80
'ta##fair.fr':80
'do####esigns.com':80
'3b###oup.com':80
'aw####joinery.co.uk':80
'je##rey.fr':80
'br###game.biz':80
'tr######netgourmandises.fr':80
'al###.akesha.com':80
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'as########euneconducteurpascher.fr':80
'br####riffin.com':80
'an####tvoyages.com':80
'be###mor.co.uk':80
'ho#####rsitehere.com':80
'be######ndsekelnerrace.nl':80
'go###arro.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://al#####ofpresence.com/wp-content/plugins/revslider/temp/update_extract/revslider/img4.php?m=##########
http://al####eshelpt.nl/wp-content/plugins/revslider/temp/update_extract/revslider/img3.php?k=##########
http://sw#####angzdesserts.com/wp-content/plugins/revslider/temp/update_extract/revslider/img1.php?s=##########
http://40####opping.com/wp-content/plugins/revslider/temp/update_extract/revslider/img5.php?z=##########
http://ba###o.spb.ru/wp-content/plugins/revslider/temp/update_extract/revslider/img4.php?h=##########
http://od###oup.com/wp-content/uploads/wpallimport/uploads/eaff1c028b48519b140086082d15f7a3/img4.php?u=##########
http://ta##fair.fr/wp-content/uploads/wpallimport/uploads/c93320dc393203a3bdc1a987a3bd1ea7/img4.php?f=##########
http://al##ehr.com/wp-content/plugins/revslider/temp/update_extract/revslider/img5.php?y=##########
http://am######familyenergy.com/wp-content/plugins/revslider/temp/update_extract/revslider/img4.php?u=##########
http://bu##ime.by/wp-content/plugins/revslider/temp/update_extract/revslider/img2.php?m=##########
http://do####esigns.com/wp-content/uploads/wpallimport/uploads/09c62b650c9af5f7a2966b114894cdff/img2.php?a=##########
http://3b###oup.com/wp-content/plugins/revslider/temp/update_extract/revslider/img4.php?u=##########
http://am###gan.net/wp-content/plugins/revslider/temp/update_extract/revslider/img5.php?z=##########
http://tr######netgourmandises.fr/wp-content/uploads/wpallimport/uploads/cb899db3b224522e34d4e2ca10788375/img3.php?v=##########
http://ho#####rsitehere.com/wp-content/plugins/revslider/temp/update_extract/revslider/img1.php?f=##########
http://be######ndsekelnerrace.nl/wp-content/plugins/revslider/temp/update_extract/revslider/img1.php?p=##########
http://al###.akesha.com/wp-content/plugins/revslider/temp/update_extract/revslider/img1.php?b=##########
http://je##rey.fr/wp-content/uploads/wpallimport/uploads/3aa8810fe8a85c3aeaf70245feaf0a41/img3.php?o=##########
http://br###game.biz/wp-content/plugins/revslider/temp/update_extract/revslider/img4.php?t=##########
http://go###arro.com/wp-content/plugins/revslider/temp/update_extract/revslider/img5.php?d=##########
http://an####tvoyages.com/wp-content/plugins/revslider/temp/update_extract/revslider/img1.php?b=##########
http://aw####joinery.co.uk/wp-content/plugins/revslider/temp/update_extract/revslider/img3.php?w=##########
http://ap###ere.com/wp-content/plugins/revslider/temp/update_extract/revslider/img3.php?l=##########
http://be###mor.co.uk/wp-content/plugins/revslider/temp/update_extract/revslider/img5.php?l=##########
http://as########euneconducteurpascher.fr/wp-content/uploads/wpallimport/uploads/6826fa428ee44eea2896299a9cdd1391/img1.php?q=##########
http://br####riffin.com/wp-content/plugins/revslider/temp/update_extract/revslider/img5.php?s=##########