Trojan.Click1.62972

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e1bb0747a3cb0fc.exe' = '<LS_APPDATA>\1e1bb0747a3cb0fc.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\51efbac473a4cecd] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\51efbac473a4cecd] 'ImagePath' = '<DRIVERS>\51efbac473a4cecd.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\2670d] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

<LS_APPDATA>\1e1bb0747a3cb0fc.exe

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtOpenThread, драйвер-обработчик: 51efbac473a4cecd.sys
NtOpenProcess, драйвер-обработчик: 51efbac473a4cecd.sys

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\l_t_bl[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\style[2].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\base.reset[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\scripts[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\DD_belatedPNG[2].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\base.alert[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\r_t_bl[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\hralert_back[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\greenalert_back[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\alert_button[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\keys[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\l_b_bl[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\cr[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\greencheck_list[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\r_b_bl[1].gif
%HOMEPATH%\Desktop\Buy Advanced PC Shield 2012.lnk
%HOMEPATH%\Start Menu\Programs\Advanced PC Shield 2012\Buy Advanced PC Shield 2012.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\alert_reg[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\index[1].html
<DRIVERS>\2670d.sys
<LS_APPDATA>\1e1bb0747a3cb0fc.exe
%HOMEPATH%\Start Menu\Programs\Advanced PC Shield 2012\Launch Advanced PC Shield 2012.lnk
<DRIVERS>\51efbac473a4cecd.sys
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\alert_danger[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\DD_belatedPNG[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\14[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\base.index[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[2].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\13[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\serial[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\base.reg[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[1].css

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\DD_belatedPNG[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\style[1].css
<DRIVERS>\2670d.sys
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[2].css

Самоперемещается: