Trojan.Click3.8610

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Processor' = 'C:\svchost.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Messenger] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\NtLmSsp] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\TlntSvr] 'Start' = '00000002'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\1. XXX Collection [www.Sexpartyonline.com].exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Редактора реестра (RegEdit)

блокирует:

Центр обеспечения безопасности (Security Center)

Запускает на исполнение:

'<SYSTEM32>\sc.exe' config SmcService start= disabled
'<SYSTEM32>\sc.exe' stop navapsvc
'<SYSTEM32>\taskkill.exe' /f /im rtvscan.exe /t
'<SYSTEM32>\sc.exe' stop SmcService
'<SYSTEM32>\sc.exe' config navapsvc start= disabled
'<SYSTEM32>\net1.exe' stop wuauserv
'<SYSTEM32>\net.exe' stop wuauserv
'<SYSTEM32>\net1.exe' start messenger
'<SYSTEM32>\sc.exe' config messenger start= auto
'<SYSTEM32>\sc.exe' stop ekrn
'<SYSTEM32>\sc.exe' config ekrn start= disabled
'<SYSTEM32>\taskkill.exe' /f /im nod32kui.exe /t
'<SYSTEM32>\taskkill.exe' /f /im egui.exe /t
'<SYSTEM32>\sc.exe' stop nod32krn
'<SYSTEM32>\taskkill.exe' /f /im defwatch.exe /t
'<SYSTEM32>\taskkill.exe' /f /im vptray.exe /t
'<SYSTEM32>\sc.exe' config nod32krn start= disabled
'<SYSTEM32>\taskkill.exe' /f /im nod32krn.exe /t
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\tlntsvrp.dll
'<SYSTEM32>\tlntsvr.exe'
'<SYSTEM32>\tlntadmn.exe' config mode=stream
'<SYSTEM32>\tlntadmn.exe' config sec=-NTLM
'<SYSTEM32>\net1.exe' start telnet
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.ge###ties.com/burhangee4u/Counter.html
'<SYSTEM32>\cmd.exe' /c c:\svchost.bat
'<SYSTEM32>\sc.exe' config TlntSvr start= auto
'<SYSTEM32>\net1.exe' user %USERNAME% hack
'<SYSTEM32>\sc.exe' config ntlmssp start= auto
'<SYSTEM32>\net1.exe' stop wscsvc
'<SYSTEM32>\sc.exe' config defwatch start= disabled
'<SYSTEM32>\net1.exe' start ntlmssp
'<SYSTEM32>\net.exe' stop wscsvc
'<SYSTEM32>\net.exe' stop sharedaccess
'<SYSTEM32>\sc.exe' config sharedaccess start= disabled
'<SYSTEM32>\sc.exe' config wscsvc start= disabled
'<SYSTEM32>\net1.exe' stop sharedaccess

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

C:\scandisk.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Counter[1].html
C:\1. XXX Collection [www.Sexpartyonline.com].exe
C:\svchost.bat
C:\svchost.exe
<SYSTEM32>\oeminfo.ini
<SYSTEM32>\oemlogo.bmp

Присваивает атрибут 'скрытый' для следующих файлов: