Trojan.MulDrop6.61739

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'DAEMON Tools-1033' = '"%ProgramFiles%\D-Tools\daemon.exe" -lang 1033'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\d347bus] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\d347bus] 'ImagePath' = 'system32\DRIVERS\d347bus.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\d347prt] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\d347prt] 'ImagePath' = 'System32\Drivers\d347prt.sys'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding 1B52BB29A1E9C0C1DBDCDC43240024F3
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\msiexec.exe' /i "%TEMP%\RarSFX0\daemontools.msi" /passive /norestart
'%TEMP%\7zS1.tmp\INSTALL.EXE'
'<SYSTEM32>\cmd.exe' /c %TEMP%\~2.cmd .\install.exe
'%TEMP%\7zS1.tmp\daemontools.exe'

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtQueryKey, драйвер-обработчик: d347bus.sys
NtOpenKey, драйвер-обработчик: d347bus.sys
NtSetSystemPowerState, драйвер-обработчик: d347bus.sys
NtQueryValueKey, драйвер-обработчик: d347bus.sys
NtEnumerateValueKey, драйвер-обработчик: d347bus.sys
NtCreateKey, драйвер-обработчик: d347bus.sys
NtClose, драйвер-обработчик: d347bus.sys
NtEnumerateKey, драйвер-обработчик: d347bus.sys
NtCreatePagingFile, драйвер-обработчик: d347bus.sys

Изменения в файловой системе:

Создает следующие файлы:

<DRIVERS>\stormbus.sys
%ProgramFiles%\D-Tools\Plugins\Images\nrgmount.dll
%ProgramFiles%\D-Tools\Plugins\Images\pdimount.dll
%ProgramFiles%\D-Tools\Plugins\Images\bw5mount.dll
%ProgramFiles%\D-Tools\Lang\1033.dll
%ProgramFiles%\D-Tools\daemon.exe
%ProgramFiles%\D-Tools\pfctoc.dll
%WINDIR%\daemon.dll
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.MAP
%WINDIR%\Installer\MSI5.tmp
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.DATA
C:\Config.Msi\26848.rbs
%ProgramFiles%\D-Tools\Icons\tray1.ico
%ProgramFiles%\D-Tools\Plugins\Images\mdsmount.dll
%ProgramFiles%\D-Tools\Plugins\Images\ccdmount.dll
%TEMP%\inf9.tmp
%TEMP%\inf8.tmp
<DRIVERS>\d347prt.sys
%WINDIR%\inf\oem3.inf
%TEMP%\~DFC31A.tmp
%WINDIR%\inf\INFCACHE.0
%WINDIR%\inf\oem3.PNF
<DRIVERS>\d347bus.sys
<DRIVERS>\stormprt.sys
%ProgramFiles%\D-Tools\Help\1033.chm
%ProgramFiles%\D-Tools\Icons\tray2.ico
%ALLUSERSPROFILE%\Desktop\DAEMON Tools.lnk
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\{3DED3A72-61A8-4B87-98A5-EF0BC8038AA0}\_daemoncp.exe
%WINDIR%\Installer\26849.msi
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
%WINDIR%\Installer\MSI4.tmp
%TEMP%\7zS1.tmp\Lang.exe
%TEMP%\7zS1.tmp\INSTALL.EXE
%TEMP%\7zS1.tmp\daemontools.exe
%TEMP%\~2.cmd
%WINDIR%\Installer\MSI3.tmp
%WINDIR%\Installer\26845.msi
%TEMP%\RarSFX0\daemontools.msi
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.BTR
%TEMP%\~DF9EC4.tmp
%WINDIR%\Installer\26847.ipi
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING2.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING1.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING.VER
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\$WinMgmt.CFG
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SOFTWARE
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SECURITY
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_.DEFAULT
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SYSTEM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\domain.txt
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\ComDb.Dat
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SAM