Trojan.MulDrop4.2030

Technical Information

Malicious functions:

Creates and executes the following:

%TEMP%\RarSFX8\rinst.exe
%TEMP%\RarSFX9\rinst.exe
%TEMP%\RarSFX7\rinst.exe
%TEMP%\RarSFX5\rinst.exe
%TEMP%\RarSFX6\rinst.exe
%TEMP%\RarSFX10\rinst.exe
%TEMP%\RarSFX15\rinst.exe
%TEMP%\RarSFX14\rinst.exe
%TEMP%\RarSFX13\rinst.exe
%TEMP%\RarSFX12\rinst.exe
%TEMP%\RarSFX11\rinst.exe
%TEMP%\brut_klg.exe
%TEMP%\RarSFX0\rinst.exe
%TEMP%\Copie de brut_klg.exe
%TEMP%\mes contacts.exe
%TEMP%\yess.exe
%TEMP%\inst_bienconfig_fud.exe
%TEMP%\RarSFX3\rinst.exe
%TEMP%\RarSFX4\rinst.exe
%TEMP%\RarSFX2\rinst.exe
%TEMP%\RarSFX1\rinst.exe
<SYSTEM32>\bpk.exe

Executes the following:

<SYSTEM32>\ntvdm.exe -f -i6
<SYSTEM32>\ntvdm.exe -f -i5
<SYSTEM32>\ntvdm.exe -f -i7
<SYSTEM32>\ntvdm.exe -f -i9
<SYSTEM32>\ntvdm.exe -f -i8
<SYSTEM32>\ntvdm.exe -f -i4
<SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\kf-amazon-mp3-store-source-128x128.png
<SYSTEM32>\ntvdm.exe -f -i1
<SYSTEM32>\notepad.exe %TEMP%\Desktop.ini
<SYSTEM32>\ntvdm.exe -f -i3
<SYSTEM32>\ntvdm.exe -f -i2

Modifies file system :

Creates the following files:

%TEMP%\RarSFX10\bpk.exe
%TEMP%\RarSFX10\0.exe
%WINDIR%\Temp\scs13.tmp
%TEMP%\RarSFX10\rinst.exe
%WINDIR%\Temp\scs12.tmp
%TEMP%\RarSFX10\inst.dat
%TEMP%\RarSFX10\pk.bin
%TEMP%\RarSFX10\bpkwb.dll
%TEMP%\RarSFX10\bpkhk.dll
%TEMP%\RarSFX11\pk.bin
%TEMP%\RarSFX11\bpk.exe
%WINDIR%\Temp\scs15.tmp
%TEMP%\RarSFX12\pk.bin
%TEMP%\RarSFX11\rinst.exe
%TEMP%\RarSFX11\0.exe
%WINDIR%\Temp\scs14.tmp
%TEMP%\RarSFX11\inst.dat
%TEMP%\RarSFX11\bpkwb.dll
%TEMP%\RarSFX11\bpkhk.dll
%WINDIR%\Temp\scsF.tmp
%TEMP%\RarSFX8\bpkhk.dll
%TEMP%\RarSFX8\0.exe
%TEMP%\RarSFX8\bpkwb.dll
%TEMP%\RarSFX7\bpk.exe
%TEMP%\RarSFX7\0.exe
%TEMP%\RarSFX7\bpkwb.dll
%TEMP%\RarSFX8\inst.dat
%TEMP%\RarSFX8\pk.bin
%TEMP%\RarSFX7\rinst.exe
%TEMP%\RarSFX9\0.exe
%TEMP%\RarSFX9\bpkwb.dll
%TEMP%\RarSFX9\rinst.exe
%TEMP%\RarSFX9\bpk.exe
%TEMP%\RarSFX9\bpkhk.dll
%TEMP%\RarSFX8\rinst.exe
%TEMP%\RarSFX8\bpk.exe
%TEMP%\RarSFX9\inst.dat
%TEMP%\RarSFX9\pk.bin
%TEMP%\RarSFX15\bpk.exe
%TEMP%\RarSFX14\0.exe
%TEMP%\RarSFX14\bpk.exe
%TEMP%\RarSFX15\rinst.exe
%TEMP%\RarSFX14\bpkwb.dll
%WINDIR%\Temp\scs19.tmp
%TEMP%\RarSFX14\bpkhk.dll
%TEMP%\RarSFX15\0.exe
%TEMP%\RarSFX15\bpkwb.dll
%TEMP%\RarSFX14\rinst.exe
%TEMP%\RarSFX16\0.exe
%TEMP%\RarSFX16\bpkwb.dll
%TEMP%\RarSFX16\rinst.exe
%TEMP%\RarSFX16\bpk.exe
%TEMP%\RarSFX16\bpkhk.dll
%WINDIR%\Temp\scs1B.tmp
%WINDIR%\Temp\scs1A.tmp
%TEMP%\RarSFX16\inst.dat
%TEMP%\RarSFX16\pk.bin
%TEMP%\RarSFX13\pk.bin
%TEMP%\RarSFX12\rinst.exe
%TEMP%\RarSFX13\bpkhk.dll
%TEMP%\RarSFX13\inst.dat
%TEMP%\RarSFX12\bpk.exe
%TEMP%\RarSFX12\bpkhk.dll
%TEMP%\RarSFX12\inst.dat
%TEMP%\RarSFX12\0.exe
%TEMP%\RarSFX12\bpkwb.dll
%TEMP%\RarSFX13\bpkwb.dll
%TEMP%\RarSFX14\inst.dat
%TEMP%\RarSFX15\inst.dat
%TEMP%\RarSFX15\bpkhk.dll
%WINDIR%\Temp\scs18.tmp
%TEMP%\RarSFX15\pk.bin
%TEMP%\RarSFX13\bpk.exe
%TEMP%\RarSFX13\0.exe
%TEMP%\RarSFX14\pk.bin
%TEMP%\RarSFX13\rinst.exe
%TEMP%\RarSFX1\rinst.exe
%WINDIR%\Temp\scs6.tmp
%TEMP%\RarSFX2\pk.bin
%WINDIR%\Temp\scs7.tmp
%TEMP%\RarSFX1\bpk.exe
%TEMP%\RarSFX1\bpkhk.dll
%TEMP%\RarSFX1\inst.dat
%TEMP%\RarSFX1\0.exe
%TEMP%\RarSFX1\bpkwb.dll
%TEMP%\RarSFX2\inst.dat
%TEMP%\RarSFX2\bpk.exe
<SYSTEM32>\bpk.exe
%TEMP%\RarSFX3\inst.dat
%TEMP%\RarSFX3\pk.bin
<SYSTEM32>\pk.bin
%TEMP%\RarSFX2\bpkwb.dll
%TEMP%\RarSFX2\bpkhk.dll
%TEMP%\RarSFX2\0.exe
%WINDIR%\Temp\scs8.tmp
%TEMP%\Desktop.ini
%TEMP%\Thumbs.db
%WINDIR%\Temp\scs3.tmp
%WINDIR%\Temp\scs2.tmp
%TEMP%\kf-amazon-mp3-store-source-128x128.png
%TEMP%\0.exe
%TEMP%\mes contacts.exe
%TEMP%\Copie de brut_klg.exe
%TEMP%\yess.exe
%TEMP%\brut_klg.exe
%TEMP%\RarSFX0\rinst.exe
%TEMP%\RarSFX0\bpk.exe
%TEMP%\RarSFX1\pk.bin
%TEMP%\inst_bienconfig_fud.exe
%TEMP%\RarSFX0\0.exe
%TEMP%\RarSFX0\inst.dat
%TEMP%\RarSFX0\pk.bin
%TEMP%\RarSFX0\bpkwb.dll
%TEMP%\RarSFX0\bpkhk.dll
%TEMP%\RarSFX6\pk.bin
%TEMP%\RarSFX5\rinst.exe
%TEMP%\RarSFX6\bpkhk.dll
%TEMP%\RarSFX6\inst.dat
%TEMP%\RarSFX5\bpk.exe
%TEMP%\RarSFX5\bpkhk.dll
%TEMP%\RarSFX5\inst.dat
%TEMP%\RarSFX5\0.exe
%TEMP%\RarSFX5\bpkwb.dll
%TEMP%\RarSFX6\bpkwb.dll
%TEMP%\RarSFX7\pk.bin
%WINDIR%\Temp\scsE.tmp
%TEMP%\RarSFX7\bpkhk.dll
%TEMP%\RarSFX7\inst.dat
%WINDIR%\Temp\scsD.tmp
%TEMP%\RarSFX6\0.exe
%WINDIR%\Temp\scsC.tmp
%TEMP%\RarSFX6\rinst.exe
%TEMP%\RarSFX6\bpk.exe
%TEMP%\RarSFX3\bpk.exe
<SYSTEM32>\bpkwb.dll
%WINDIR%\Temp\scs9.tmp
%TEMP%\RarSFX4\pk.bin
%TEMP%\RarSFX3\0.exe
%TEMP%\RarSFX3\bpkhk.dll
%TEMP%\RarSFX2\rinst.exe
<SYSTEM32>\bpkhk.dll
%TEMP%\RarSFX3\bpkwb.dll
%TEMP%\RarSFX4\inst.dat
%TEMP%\RarSFX4\bpk.exe
%TEMP%\RarSFX4\bienconfig.exe
%TEMP%\RarSFX5\pk.bin
%TEMP%\RarSFX4\rinst.exe
%TEMP%\RarSFX4\bpkwb.dll
%TEMP%\RarSFX4\bpkhk.dll
<SYSTEM32>\inst.dat
<SYSTEM32>\rinst.exe
%TEMP%\RarSFX3\rinst.exe

Deletes the following files:

%TEMP%\RarSFX9\rinst.exe
%WINDIR%\Temp\scs12.tmp
%WINDIR%\Temp\scs14.tmp
%TEMP%\RarSFX9\inst.dat
%TEMP%\RarSFX9\bpkhk.dll
%TEMP%\RarSFX9\bpkwb.dll
%TEMP%\RarSFX6\0.exe
%TEMP%\RarSFX10\pk.bin
%TEMP%\RarSFX10\bpk.exe
%TEMP%\RarSFX9\0.exe
%TEMP%\RarSFX7\0.exe
%WINDIR%\Temp\scs13.tmp
%WINDIR%\Temp\scs15.tmp
%TEMP%\RarSFX8\0.exe
%TEMP%\RarSFX7\bpkhk.dll
%TEMP%\RarSFX8\bpkhk.dll
%TEMP%\RarSFX8\bpkwb.dll
%TEMP%\RarSFX8\bpk.exe
%TEMP%\RarSFX7\pk.bin
%TEMP%\RarSFX7\bpk.exe
%TEMP%\RarSFX8\pk.bin
%TEMP%\RarSFX8\rinst.exe
%TEMP%\RarSFX9\pk.bin
%TEMP%\RarSFX9\bpk.exe
%TEMP%\RarSFX7\rinst.exe
%TEMP%\RarSFX7\bpkwb.dll
%TEMP%\RarSFX7\inst.dat
%TEMP%\RarSFX8\inst.dat
%TEMP%\RarSFX10\bpkhk.dll
%TEMP%\RarSFX13\bpkwb.dll
%TEMP%\RarSFX12\0.exe
%TEMP%\RarSFX10\0.exe
%TEMP%\RarSFX13\bpkhk.dll
%TEMP%\RarSFX11\rinst.exe
%TEMP%\RarSFX13\pk.bin
%TEMP%\RarSFX13\bpk.exe
%WINDIR%\Temp\scs1A.tmp
%WINDIR%\Temp\scs18.tmp
%WINDIR%\Temp\scs1B.tmp
%WINDIR%\Temp\scs19.tmp
%TEMP%\RarSFX13\inst.dat
%TEMP%\RarSFX11\0.exe
%TEMP%\RarSFX13\rinst.exe
%TEMP%\RarSFX12\bpkhk.dll
%TEMP%\RarSFX10\rinst.exe
%TEMP%\RarSFX12\bpkwb.dll
%TEMP%\RarSFX12\bpk.exe
%TEMP%\RarSFX10\bpkwb.dll
%TEMP%\RarSFX12\pk.bin
%TEMP%\RarSFX10\inst.dat
%TEMP%\RarSFX11\bpkhk.dll
%TEMP%\RarSFX11\bpkwb.dll
%TEMP%\RarSFX11\inst.dat
%TEMP%\RarSFX12\rinst.exe
%TEMP%\RarSFX11\pk.bin
%TEMP%\RarSFX12\inst.dat
%TEMP%\RarSFX11\bpk.exe
%TEMP%\RarSFX6\rinst.exe
%TEMP%\RarSFX1\rinst.exe
%TEMP%\RarSFX2\pk.bin
%TEMP%\RarSFX1\0.exe
%TEMP%\RarSFX1\inst.dat
%TEMP%\RarSFX1\bpk.exe
%TEMP%\RarSFX1\bpkhk.dll
%TEMP%\RarSFX1\bpkwb.dll
%TEMP%\RarSFX3\bpkhk.dll
%TEMP%\RarSFX4\bpk.exe
%TEMP%\RarSFX4\bpkhk.dll
%TEMP%\RarSFX3\bpk.exe
%TEMP%\RarSFX3\pk.bin
%TEMP%\RarSFX2\bpk.exe
%TEMP%\RarSFX4\pk.bin
%TEMP%\RarSFX0\pk.bin
%TEMP%\RarSFX0\bpk.exe
%TEMP%\RarSFX0\bpkhk.dll
%WINDIR%\Temp\scs7.tmp
%WINDIR%\Temp\scs2.tmp
%WINDIR%\Temp\scs3.tmp
%WINDIR%\Temp\scs6.tmp
%WINDIR%\Temp\scs9.tmp
%TEMP%\RarSFX0\0.exe
%TEMP%\RarSFX1\pk.bin
%WINDIR%\Temp\scs8.tmp
%TEMP%\RarSFX0\bpkwb.dll
%TEMP%\RarSFX0\inst.dat
%TEMP%\RarSFX0\rinst.exe
%TEMP%\RarSFX2\bpkhk.dll
%WINDIR%\Temp\scsE.tmp
%WINDIR%\Temp\scsF.tmp
%TEMP%\RarSFX4\bienconfig.exe
%TEMP%\RarSFX3\0.exe
%TEMP%\RarSFX5\bpkwb.dll
%TEMP%\RarSFX5\inst.dat
%TEMP%\RarSFX5\rinst.exe
%TEMP%\RarSFX6\bpkhk.dll
%TEMP%\RarSFX6\bpkwb.dll
%TEMP%\RarSFX6\inst.dat
%TEMP%\RarSFX6\bpk.exe
%TEMP%\RarSFX2\0.exe
%TEMP%\RarSFX5\0.exe
%TEMP%\RarSFX6\pk.bin
%TEMP%\RarSFX3\inst.dat
%TEMP%\RarSFX3\rinst.exe
%TEMP%\RarSFX2\inst.dat
%TEMP%\RarSFX4\inst.dat
%TEMP%\RarSFX4\bpkwb.dll
%TEMP%\RarSFX2\bpkwb.dll
%TEMP%\RarSFX3\bpkwb.dll
%TEMP%\RarSFX5\bpkhk.dll
%WINDIR%\Temp\scsC.tmp
%WINDIR%\Temp\scsD.tmp
%TEMP%\RarSFX5\bpk.exe
%TEMP%\RarSFX4\rinst.exe
%TEMP%\RarSFX2\rinst.exe
%TEMP%\RarSFX5\pk.bin

Miscellaneous:

Searches for the following windows:

ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-e28.e34.3c0001'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-d1c.d24.3b0002'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-cd8.cdc.3a0001'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-fb8.fbc.3f0002'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-fa0.fac.3e0001'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-e58.e60.3d0002'
ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b30.b34.370001'
ClassName: '' WindowName: 'PKL Window'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-be0.be4.390002'
ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b94.b9c.380001'

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical Information

Curing recommendations

Free trial