Trojan.MulDrop6.53043

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\.scr] '@' = 'SCRFile'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CTFMON.EXE' = '<SYSTEM32>\CTFMON.EXE'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Activator Windows 8' = ''
[<HKLM>\SOFTWARE\Classes\.scr] '' = 'SCRFile'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Activator Windows 8' = ''

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Запускает на исполнение:

'%TEMP%\RarSFX3\setup.exe'
'%TEMP%\is-4IGAI.tmp\Farsi_key_new.exe'
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\ctfmon.exe'
'<SYSTEM32>\msiexec.exe' -Embedding 71F4518174F312D0DC5122A7ADDFBBC0
'%TEMP%\is-OOCQA.tmp\MRTPACK.tmp' /SL5="$1015A,510375,119296,%TEMP%\RarSFX2\MRTPACK.exe" /verysilent
'%TEMP%\RarSFX1\Patch.exe' /silent
'%TEMP%\RarSFX0\Winrar.exe'
'%TEMP%\011\Reg_new.exe' %TEMP%\011\Reg_new.exe
'%TEMP%\RarSFX2\MRTPACK.exe' /verysilent
'%WINDIR%\regedit.exe' /s "%TEMP%\\regpatch.reg"

Изменения в файловой системе:

Создает следующие файлы:

C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\ComDb.Dat
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SAM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SYSTEM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\domain.txt
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.BTR
%WINDIR%\Installer\22b8b.ipi
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\$WinMgmt.CFG
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SOFTWARE
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SECURITY
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_.DEFAULT
<SYSTEM32>\iRaN-MRT.dll
C:\Config.Msi\22b8c.rbs
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.MAP
%WINDIR%\Installer\MSI3.tmp
%TEMP%\~DF4D1D.tmp
%WINDIR%\Installer\22b8d.msi
%WINDIR%\Installer\MSI4.tmp
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING.VER
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.MAP
%TEMP%\~DFB5D6.tmp
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING1.MAP
%WINDIR%\Installer\MSI1.tmp
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.DATA
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING2.MAP
%TEMP%\RarSFX2\Winrar.exe
%TEMP%\RarSFX2\MRTPACK.exe
%TEMP%\RarSFX2\Add.exe
%TEMP%\is-OOCQA.tmp\MRTPACK.tmp
%TEMP%\is-4IGAI.tmp\is-5MOR4.tmp
%WINDIR%\win2farsi\temp\is-OKIS9.tmp
%TEMP%\is-4IGAI.tmp\_isetup\_shfoldr.dll
%TEMP%\RarSFX0\Winrar.exe
%TEMP%\RarSFX0\uac.exe
%TEMP%\RarSFX0\Active8.1.exe
%TEMP%\RarSFX1\Patch.exe
%TEMP%\regpatch.reg
%TEMP%\011\Reg_new.exe
%TEMP%\dup2patcher.dll
%TEMP%\2213a.msi
%TEMP%\RarSFX3\iRaN-MRT_amd64.msi
%TEMP%\RarSFX3\wow64\iRaN-MRT.dll
%WINDIR%\Installer\22b8a.msi
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
%TEMP%\RarSFX3\iRaN-MRT_ia64.msi
%TEMP%\RarSFX3\iRaN-MRT_i386.msi
%WINDIR%\win2farsi\temp\unins000.dat
%TEMP%\RarSFX3\setup.exe
%TEMP%\RarSFX3\ia64\iRaN-MRT.dll
%TEMP%\RarSFX3\i386\iRaN-MRT.dll
%TEMP%\RarSFX3\amd64\iRaN-MRT.dll