Trojan.Click1.59822

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'mshta.exe vbscript:CreateObject("Wscript.Shell").run("<Имя диска съемного носителя>:\\\\\RECYCLERNNKH\\70F6E465-7DEF-71d2-C2D9-10C04F8EEC81.vbe../")(window.close)'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\VolumeDH\inj.dat
<Имя диска съемного носителя>:\VolumeDH\taobao.ico
<Имя диска съемного носителя>:\RECYCLERNNKH\tmp.reg
<Имя диска съемного носителя>:\RECYCLERNNKH\70F6E465-7DEF-71d2-C2D9-10C04F8EEC81.vbe
<Имя диска съемного носителя>:\VolumeDH\bagua.ico
<Имя диска съемного носителя>:\VolumeDH\kisp2011.exe
<Имя диска съемного носителя>:\VolumeDH\meinv.ico
<Имя диска съемного носителя>:\VolumeDH\kankan.ico

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\attrib.exe +s +h <Имя диска съемного носителя>:\VolumeDH
<SYSTEM32>\regedt32.exe /s <Имя диска съемного носителя>:\RECYCLERNNKH\tmp.reg
<SYSTEM32>\msiexec.exe -Embedding B7E9A79953A481174E43242E89B65281
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.cn###kan.com/?t8####
%WINDIR%\regedit.exe /s <Имя диска съемного носителя>:\RECYCLERNNKH\tmp.reg
<SYSTEM32>\attrib.exe +s +h <Имя диска съемного носителя>:\RECYCLERNNKH
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\msiexec.exe /i "%TEMP%\INS1TM~1.INI" /quiet
<SYSTEM32>\cmd.exe /c """%TEMP%\run_kl_file.bat"" "
<SYSTEM32>\expand.exe ""%TEMP%\favorites_url.cab"" -F:*.* "%HOMEPATH%\Favorites"
<SYSTEM32>\cmd.exe /c """%TEMP%\tmp_ext_favurl_cab.bat"" "
<SYSTEM32>\cmd.exe /c """%TEMP%\run_dws_file.bat"" "

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

%CommonProgramFiles%\lanmao.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\jm_setup_qvod[1].exe
%TEMP%\jm_setup_qvod.exe
%APPDATA%\ampw.ooe.ini
%WINDIR%\Installer\MSI3.tmp
C:\Config.Msi\1f8b6.rbs
%TEMP%\82133.vbs
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\ddsp1[1].exe
%TEMP%\ddsp1.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\cnkankan[1]
%TEMP%\LavaGame_2.2.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\Loader_forqd312[1].exe
%TEMP%\Loader_forqd312.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\LavaGame_2.2[1].exe
%TEMP%\inl2.tmp
%WINDIR%\Installer\1f8b3.msi
%TEMP%\run_dws_file.bat
%TEMP%\ins1.tmp.ini
%TEMP%\cdf1912.tmp
%TEMP%\run_kl_file.bat
%CommonProgramFiles%\loader.dll
%HOMEPATH%\Favorites\ГАЕ®АЦФ°.url
%HOMEPATH%\Favorites\°Щ№ИµзУ°.url
%HOMEPATH%\Favorites\їґїґµзУ°.url
%HOMEPATH%\Favorites\ґґТµН¶ЧКєГПоДї.url
%TEMP%\favorites_url.cab
%TEMP%\tmp_ext_favurl_cab.bat
%HOMEPATH%\Favorites\°ЛШФЙ«Нј.url