Trojan.MulDrop6.59507

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUTPOXRme' = '%TEMP%\avp.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKese' = '%WINDIR%\svchost.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKese' = '%WINDIR%\svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUTPOXRrCg' = '%TEMP%\s081rkqy.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUTPOXRrCg' = '%TEMP%\s081rkqy.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUTPOXRme' = '%TEMP%\avp.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKerb' = '%WINDIR%\taskmgr.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'uPc+MV0NPZJsiv' = 'rundll32.exe <SYSTEM32>\x55pd.dll, SystemServer'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'uPc+MV0NPZJsiv' = 'rundll32.exe <SYSTEM32>\x55pd.dll, SystemServer'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{B2B220C1-A502-59BD-F413-02B52A2C8952}' = 'hasf8hafiudhf83w7hfuifjdfd'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKerb' = '%WINDIR%\taskmgr.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUTPOXRspe' = '%TEMP%\winamp.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUTPOXRspe' = '%TEMP%\winamp.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует запуск следующих системных утилит:

блокирует:

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'

Запускает на исполнение:

'%WINDIR%\taskmgr.exe'
'%WINDIR%\svchost.exe'
'%TEMP%\avp.exe'
'<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\p2hhr.bat" "<Полный путь к файлу>""
'%WINDIR%\explorer.exe'
'%TEMP%\winamp.exe'
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\x55pd.dll, SystemServer
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\wng48of.dll
'%TEMP%\ngy9t16.exe'
'%TEMP%\s081rkqy.exe'
'%TEMP%\ahca1ukonmfrd.exe'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\yawghd72y7huhd.tmp
%TEMP%\avp.exe
%WINDIR%\svchost.exe
%WINDIR%\taskmgr.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dw[2].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mn[1].php
<Текущая директория>\p2hhr.bat
%TEMP%\jhsf873huygdf3a2.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dw[3].php
%TEMP%\ngy9t16.exe
%TEMP%\ahca1ukonmfrd.exe
<SYSTEM32>\wng48of.dll
<SYSTEM32>\x55pd.dll
%TEMP%\s081rkqy.exe
%TEMP%\winamp.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dw[1].php
%TEMP%\kskjnfd82hdgf.tmp
%TEMP%\uhbdsf7wgw65wf.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Самоудаляется.

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

http://md##nit.com/dw/dw.php?id##########################
http://ek###arch.com/rz/mn.php?ve####
http://md##nit.com/dw/dw.php?id########################
http://md##nit.com/dw/dw.php?id#########
http://md##nit.com/dw/dm.php?id##########################################################################

UDP: