Trojan.Click1.62244

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'fsahdsf' = '"<Имя диска съемного носителя>:\zations\tmp.\a.{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}" hh.exe'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\zations\╚э╝■╧┬╘╪.url
<Имя диска съемного носителя>:\zations\╠╘▒ж═°-╠╘╬╥╧▓╗╢.url
<Имя диска съемного носителя>:\zations\9477-╨б╙╬╧╖.url
<Имя диска съемного носителя>:\zations\2.inf
<Имя диска съемного носителя>:\zations\3.bat
<Имя диска съемного носителя>:\zations\1.inf
<Имя диска съемного носителя>:\zations\═°╓╖╡╝║╜┤є╚л.url
<Имя диска съемного носителя>:\5731161157.exe
<Имя диска съемного носителя>:\zations\2.bat
<Имя диска съемного носителя>:\zations\1.bat
<Имя диска съемного носителя>:\zations\4399-╨б╙╬╧╖.url
<Имя диска съемного носителя>:\zations\4399╨б╙╬╧╖.url
<Имя диска съемного носителя>:\zations\7K7K-╨б╙╬╧╖.url

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\31111657\caihong.exe (загружен из сети Интернет) /VERYSILENT /SP- /NORESTART
<Имя диска съемного носителя>:\5731161157.exe /i "%PROGRAM_FILES%\31111657\5731.txt" /quiet

Запускает на исполнение:

<SYSTEM32>\find.exe /i "360tray.exe" tasklist.txt
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\tasklist.exe
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.ws##w.com/?bb" /f
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.ws##w.com/?bb" /f
<SYSTEM32>\reg.exe add "HKCR\htafile\DefaultIcon" /v "" /d "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE" /f
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
<SYSTEM32>\reg.exe add "HKCR\htafile" /v "NeverShowExt" /d "" /f
<SYSTEM32>\rundll32.exe syssetup,SetupInfObjectInstallAction DefaultInstall 128 <Имя диска съемного носителя>:\zations\2.inf
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://cn##.sjt8.com/info.access/?st#####
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.nz##8.net/index2.html
<SYSTEM32>\msiexec.exe -Embedding 29711557A4B738A55127D9DCDC1A43B6
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\mshta.exe vbscript:createobject("wscript.shell").run("""iexplore""http://cn##.sjt8.com/info.access/?st#####",0)(window.close)
<SYSTEM32>\attrib.exe +s +h <Имя диска съемного носителя>:\zations\tmp\a.{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}
<SYSTEM32>\attrib.exe +s +h <Имя диска съемного носителя>:\zations\tmp
<SYSTEM32>\reg.exe add "HKCR\CLSID\{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}\Shell\open(&H)\Command" /v "" /d "wscript -e:vbs ""<Имя диска съемного носителя>:\zations\3.bat""" /f
<SYSTEM32>\rundll32.exe syssetup,SetupInfObjectInstallAction DefaultInstall 128 <Имя диска съемного носителя>:\zations\1.inf
<SYSTEM32>\reg.exe add "HKCR\CLSID\{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}" /v "IsShortCut" /d "" /f

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Installer\MSI6.tmp
C:\Config.Msi\1c61d.rbs
%PROGRAM_FILES%\31111657\caihong.exe
%TEMP%\nsd2.tmp\NSISdl.dll
%WINDIR%\Installer\1c61a.msi
%WINDIR%\Installer\MSI4.tmp
%WINDIR%\Installer\MSI5.tmp
<SYSTEM32>\find.txt
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internat Explorer.hta
%PROGRAM_FILES%\31111657\kugou_2355.exe
<SYSTEM32>\tasklist.txt
%TEMP%\MSI1fa1a.LOG
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\info[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\index2[1].html
%TEMP%\nsd2.tmp\ns3.tmp
%PROGRAM_FILES%\31111657\5731.txt
%PROGRAM_FILES%\date3157\IeUpdate.exe
%PROGRAM_FILES%\date3157\IeUpdate.ini
%PROGRAM_FILES%\31111657\bat.txt
%TEMP%\nsd2.tmp\System.dll
%PROGRAM_FILES%\31111657\abcd.exe
%PROGRAM_FILES%\31111657\360P2SP.wma
%HOMEPATH%\Desktop\КАЅзЦ®ґ° дЇААЖч.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\КАЅзЦ®ґ° дЇААЖч.lnk
%TEMP%\nsd2.tmp\nsExec.dll
%PROGRAM_FILES%\date3157\date3157.ini
%PROGRAM_FILES%\date3157\oem.ini
%PROGRAM_FILES%\date3157\dailytips.ini
%PROGRAM_FILES%\date3157\date3157.exe