Trojan.MulDrop3.35834

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\PlugAndPlay] 'ImagePath' = '%APPDATA%\svchost.exe -service -debug'
[<HKLM>\SYSTEM\ControlSet001\Services\PlugAndPlay] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\ProtocolWindows_ ] 'Start' = '00000002'

Заражает следующие исполняемые системные файлы:

<SYSTEM32>\dllcache\termsrv.dll

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\termsrv.dll файлом <SYSTEM32>\termsrv.dll.tmp
<SYSTEM32>\termsrv.dll файлом <SYSTEM32>\termsrv.dll

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\lsass.exe' = '%APPDATA%\lsass.exe:*:Enabled:ENABLE'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\svchost.exe' = '%APPDATA%\svchost.exe:*:Enabled:ENABLE'

Создает и запускает на исполнение:

%APPDATA%\termserv.exe -silent

Запускает на исполнение:

<SYSTEM32>\netsh.exe firewall add allowedprogram "%APPDATA%\svchost.exe" ENABLE
<SYSTEM32>\netsh.exe firewall add allowedprogram ctfmon.exe ENABLE
<SYSTEM32>\reg.exe ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 3389 /f
<SYSTEM32>\reg.exe ADD "HKCU\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_LOCALMACHINE_LOCKDOWN" /v iexplore.exe /t REG_DWORD /d 0 /f
<SYSTEM32>\netsh.exe firewall add portopening protocol = TCP port = 31337 name = TCP
<SYSTEM32>\netsh.exe firewall add portopening protocol = TCP port = 80 name = TCP
<SYSTEM32>\netsh.exe firewall add portopening protocol = TCP port = 3389 name = TCP
<SYSTEM32>\netsh.exe firewall add portopening protocol = TCP port = 8080 name = TCP
<SYSTEM32>\reg.exe ADD "HKLM\SYSTEM\CurrentControlSet\services\PlugAndPlay" /v ImagePath /t REG_SZ /d "%APPDATA%\svchost.exe -service -debug" /f
<SYSTEM32>\sc.exe stop "PlugAndPlay"
<SYSTEM32>\sc.exe delete "PlugAndPlay"
<SYSTEM32>\sc.exe stop "ProtocolWindows_ "
<SYSTEM32>\sc.exe delete "ProtocolWindows_ "
<SYSTEM32>\netsh.exe firewall add allowedprogram "%APPDATA%\lsass.exe" ENABLE
<SYSTEM32>\sc.exe create "PlugAndPlay" displayname= "PlugAndPlay " binpath= "%APPDATA%\svchost.exe -service -debug" type= own start= auto error= ignore
<SYSTEM32>\sc.exe create "ProtocolWindows_ " binpath= "%APPDATA%\lsass.exe" displayname= "Protocol HTTP/SSL " type= own start= auto error= ignore
<SYSTEM32>\sc.exe description "ProtocolWindows_ " "Эта службa обеспечивает безопaсный протокол передачи данных гипертекста (HTTPS) для службы HTTP. Если эта служба отключенa, любые службы, которые явно зaвисят от нее, не могут быть запущены. "