Trojan.Click2.18904

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RfwDown' = '"%TEMP%\rfw1416456.exe" /session DCF475EC55994233AAC96F6069F8FBEF'

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\ТжГЛІЩЕМКЦ.lnk

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\GLJ5.tmp %PROGRAM_FILES%\ymLevel2_Taste\Coder2.dll
%PROGRAM_FILES%\ymLevel2_Taste\L2LC.exe
%TEMP%\GLJ5.tmp %PROGRAM_FILES%\ymLevel2_Taste\DownLoad.dll
%TEMP%\GLJ5.tmp %PROGRAM_FILES%\ymLevel2_Taste\UnzipDll.dll
%TEMP%\GLJ5.tmp %PROGRAM_FILES%\ymLevel2_Taste\MFC71.dll
%TEMP%\PPTV(pplive)_forqd319.exe
%TEMP%\forqd319.exe
%TEMP%\rfw1416456.exe
%TEMP%\wl0910198.exe
%TEMP%\GLB2.tmp 4736 %TEMP%\WL0910~1.EXE
%TEMP%\seemaos_d_B1A4.exe
%TEMP%\PPTV(pplive)_forqd319.exe (загружен из сети Интернет)

Запускает на исполнение:

%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RS4.tmp.rs
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\GuideConfig5701[1].xml
%HOMEPATH%\Desktop\ТжГЛІЩЕМКЦ.lnk
%PROGRAM_FILES%\ymLevel2_Taste\UNWISE.INI
%HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\Р¶ФШТжГЛІЩЕМКЦ.lnk
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_forqd319[1].exe
%HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\ТжГЛІЩЕМКЦ.lnk
%TEMP%\PPTV(pplive)_forqd319.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\run[1].shtml
%TEMP%\nsp8.tmp\xml.dll
%ALLUSERSPROFILE%\Application Data\~smtemp\config.xml
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\rt[1].shtml
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\index[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ad3[1].html
%PROGRAM_FILES%\ymLevel2_Taste\UpVer.dat
%ALLUSERSPROFILE%\Application Data\~smtemp\~temp
%PROGRAM_FILES%\ymLevel2_Taste\Hrif.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\downloader[1].shtml
%PROGRAM_FILES%\ymLevel2_Taste\INSTALL.LOG
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%TEMP%\GLC3.tmp
%TEMP%\GLB2.tmp
%TEMP%\GLJ5.tmp
%TEMP%\nsp8.tmp\System.dll
%ALLUSERSPROFILE%\Application Data\~smtemp\HTTPDownloadFile.dll
%TEMP%\rfw1416456.exe
%TEMP%\forqd319.exe
%TEMP%\seemaos_d_B1A4.exe
%TEMP%\wokao.doc
%TEMP%\wl0910198.exe
%TEMP%\nsp8.tmp\inetc.dll
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\temp.000
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%TEMP%\GLGA.tmp
%TEMP%\GLK7.tmp
%TEMP%\~GLH0000.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP

Удаляет следующие файлы:

%TEMP%\GLJ5.tmp
%TEMP%\GLFB.tmp
%TEMP%\GLGA.tmp
%TEMP%\GLK7.tmp
%TEMP%\GLC3.tmp
%TEMP%\nsp8.tmp\System.dll
%TEMP%\nsp8.tmp\xml.dll
%TEMP%\GLB2.tmp
%TEMP%\nsp8.tmp\inetc.dll
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%TEMP%\RS4.tmp
%ALLUSERSPROFILE%\Application Data\~smtemp\~temp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\GuideConfig5701[1].xml

Сетевая активность:

Подключается к:

'localhost':1046
'localhost':1045
'www.em##ey.cn':80
'ap#.#eemao.com':80
'rs####.rising.com.cn':80
'do####ad.pplive.com':80
'localhost':1036
'lo#.#eemao.com':80
'cl#####fo.rising.com.cn':80

TCP:

Запросы HTTP GET:

lo#.#eemao.com/downloader/rt.shtml?pf#####################################################
ap#.#eemao.com/downloader/downloader.shtml?pf################################################
www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############
www.em##ey.cn/dianjin/ym/rj/ad3.html?si###############
cl#####fo.rising.com.cn/cloudconfig/GuideConfig5701.xml
do####ad.pplive.com/PPTV(pplive)_forqd319.exe
rs####.rising.com.cn/Register/OnlineHelper/Web_Online/DownloaderInfo.aspx?in###################################################
lo#.#eemao.com/downloader/run.shtml?pf################################################

UDP: