Trojan.MulDrop5.37623

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\pex\shell\open\command] '' = '%PROGRAM_FILES%\PhraseExpress\PhraseExpress.exe -configfile="%1"'
[<HKLM>\SOFTWARE\Classes\PhraseExpress\shell\open\command] '' = '%PROGRAM_FILES%\PhraseExpress\PhraseExpress.exe -open="%1"'

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\PhraseExpress.lnk

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\PhraseExpress\phraseexpress.exe' = '%PROGRAM_FILES%\PhraseExpress\phraseexpress.exe:*:Enabled:PhraseExpress'

Создает и запускает на исполнение:

'%PROGRAM_FILES%\PhraseExpress\phraseexpress.exe'
'%TEMP%\is-UTGTQ.tmp\PhraseExpressSetup.tmp' /SL5="$40092,13713742,142848,%TEMP%\7zS1.tmp\PhraseExpressSetup.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'%TEMP%\7zS1.tmp\PhraseExpressSetup.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%PROGRAM_FILES%\PhraseExpress\PhraseExpress.exe" "PhraseExpress" ENABLE ALL

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\PhraseExpress\is-9N6U7.tmp
%PROGRAM_FILES%\PhraseExpress\is-H87L3.tmp
%PROGRAM_FILES%\PhraseExpress\is-TC37M.tmp
%PROGRAM_FILES%\PhraseExpress\is-RO95J.tmp
%PROGRAM_FILES%\PhraseExpress\is-VIN73.tmp
%PROGRAM_FILES%\PhraseExpress\is-FFF3T.tmp
%PROGRAM_FILES%\PhraseExpress\is-MHD5S.tmp
%PROGRAM_FILES%\PhraseExpress\unins000.dat
%ALLUSERSPROFILE%\Application Data\PhraseExpress\config.xml
%TEMP%\PhraseExpressTemp\temp_phrases.pxp
%PROGRAM_FILES%\PhraseExpress\is-OF732.tmp
%PROGRAM_FILES%\PhraseExpress\is-92PK6.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\PhraseExpress\PhraseExpress Launch.lnk
%TEMP%\is-32KV8.tmp\_isetup\_isdecmp.dll
%PROGRAM_FILES%\PhraseExpress\is-U4DLS.tmp
%PROGRAM_FILES%\PhraseExpress\is-RROM9.tmp
%TEMP%\7zS1.tmp\PhraseExpressSetup.exe
%TEMP%\is-UTGTQ.tmp\PhraseExpressSetup.tmp
%TEMP%\is-32KV8.tmp\_isetup\_shfoldr.dll
%PROGRAM_FILES%\PhraseExpress\is-JG54J.tmp
%ALLUSERSPROFILE%\Application Data\PhraseExpress\is-G5DCL.tmp
%ALLUSERSPROFILE%\Documents\PhraseExpress\is-QSGGL.tmp
%PROGRAM_FILES%\PhraseExpress\is-GNAIU.tmp
%PROGRAM_FILES%\PhraseExpress\is-U8M9B.tmp
%PROGRAM_FILES%\PhraseExpress\is-V5IJD.tmp
%PROGRAM_FILES%\PhraseExpress\is-NR90T.tmp

Удаляет следующие файлы:

%TEMP%\is-UTGTQ.tmp\PhraseExpressSetup.tmp
%TEMP%\7zS1.tmp\PhraseExpressSetup.exe
%TEMP%\is-32KV8.tmp\_isetup\_isdecmp.dll
%TEMP%\is-32KV8.tmp\_isetup\_shfoldr.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\PhraseExpress\is-FFF3T.tmp в %PROGRAM_FILES%\PhraseExpress\ib_util.dll
%PROGRAM_FILES%\PhraseExpress\is-9N6U7.tmp в %PROGRAM_FILES%\PhraseExpress\icudt30.dll
%PROGRAM_FILES%\PhraseExpress\is-RO95J.tmp в %PROGRAM_FILES%\PhraseExpress\firebird.msg
%PROGRAM_FILES%\PhraseExpress\is-VIN73.tmp в %PROGRAM_FILES%\PhraseExpress\fbclient.dll
%PROGRAM_FILES%\PhraseExpress\is-H87L3.tmp в %PROGRAM_FILES%\PhraseExpress\icuin30.dll
%PROGRAM_FILES%\PhraseExpress\is-OF732.tmp в %PROGRAM_FILES%\PhraseExpress\msvcp80.dll
%PROGRAM_FILES%\PhraseExpress\is-92PK6.tmp в %PROGRAM_FILES%\PhraseExpress\msvcr80.dll
%PROGRAM_FILES%\PhraseExpress\is-TC37M.tmp в %PROGRAM_FILES%\PhraseExpress\icuuc30.dll
%PROGRAM_FILES%\PhraseExpress\is-MHD5S.tmp в %PROGRAM_FILES%\PhraseExpress\Microsoft.VC80.CRT.manifest
%PROGRAM_FILES%\PhraseExpress\is-JG54J.tmp в %PROGRAM_FILES%\PhraseExpress\pexinst.exe
%PROGRAM_FILES%\PhraseExpress\is-U8M9B.tmp в %PROGRAM_FILES%\PhraseExpress\pexkey.dll
%PROGRAM_FILES%\PhraseExpress\is-U4DLS.tmp в %PROGRAM_FILES%\PhraseExpress\unins000.exe
%PROGRAM_FILES%\PhraseExpress\is-RROM9.tmp в %PROGRAM_FILES%\PhraseExpress\phraseexpress.exe
%PROGRAM_FILES%\PhraseExpress\is-V5IJD.tmp в %PROGRAM_FILES%\PhraseExpress\pexlang.dll
%ALLUSERSPROFILE%\Documents\PhraseExpress\is-QSGGL.tmp в %ALLUSERSPROFILE%\Documents\PhraseExpress\phrases.pxp
%PROGRAM_FILES%\PhraseExpress\is-GNAIU.tmp в %PROGRAM_FILES%\PhraseExpress\firebird.conf
%PROGRAM_FILES%\PhraseExpress\is-NR90T.tmp в %PROGRAM_FILES%\PhraseExpress\pexregex.dll
%ALLUSERSPROFILE%\Application Data\PhraseExpress\is-G5DCL.tmp в %ALLUSERSPROFILE%\Application Data\PhraseExpress\config.xml