Trojan-Downloader.Win32. Murlo.eb

Троянская программа, загружающая из интернета файлы без ведома пользователя.

Является приложением Windows (PE EXE-файл). Упакована при помощи AsPack. Размер файла — 20480 байт. Размер в распакованном виде — около 58 КБ.

Инсталляция

Троянец запускается с параметрами:

net stop SharedAccess
net stop wscsvc

Изменяет значения следующих ключей реестра для полного отключения «Центра безопасности» и «Брандмауэра Windows»:

[HKLM\SYSTEM\CurrentControlSet\Services\wscsvc]
 Start=4

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
 Start=4

Также троянец извлекает из своего тела динамическую библиотеку DLL и сохраняет ее во временный каталог Windows нижеприведенным именем после чего загружает ее.

 
tmp<случайное число>.tmp

Деструктивная активность

Троянец завершает следующие процессы:

firefox.exe
iexplore.exe
Opera.exe

При загрузке созданная трояном библиотека ищет в системе процесс iexplore.exe и загружает себя в его адресное пространство. Если процесс не найден, библиотека запускает его.

Троянец скачивает файлы по следующим ссылкам:

http://85.255.***.219/e410.gif
http://85.255.***.219/e436.gif
http://85.255.***.219/e441.gif
http://85.255.***.219/e449.gif

Сохраняет их в системную папку Windows (%System%) с расширением EXE, после чего запускает их на исполнение.

Троянец регистрирует свою копию на сайте, открывая следующий URL:

http://85.255.***.219/count.php?u=350