Trojan.Click2.56301

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg4' = '<Имя диска съемного носителя>:\WINDOWS\system32\updater2\lol2.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg' = '<SYSTEM32>\updater\lol2.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg1' = '<Имя диска съемного носителя>:\WINDOWS\system32\updater\lol2.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg3' = '<SYSTEM32>\updater2\lol2.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg5' = '<SYSTEM32>\updater3\lol2.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg6' = '<Имя диска съемного носителя>:\WINDOWS\system32\updater3\lol2.cmd'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg4 /t REG_SZ /d <Имя диска съемного носителя>:\WINDOWS\system32\updater2\lol2.cmd /f
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg6 /t REG_SZ /d <Имя диска съемного носителя>:\WINDOWS\system32\updater3\lol2.cmd /f
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg /t REG_SZ /d <SYSTEM32>\updater\lol2.cmd /f
'<SYSTEM32>\netsh.exe' firewall set opmode disable
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg1 /t REG_SZ /d <Имя диска съемного носителя>:\WINDOWS\system32\updater\lol2.cmd /f
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://sk####-cs.org.ua
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\updater2\lol.bat" "
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\updater\lol.bat" "
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\updater3\lol.bat" "
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg5 /t REG_SZ /d <SYSTEM32>\updater3\lol2.cmd /f
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg3 /t REG_SZ /d <SYSTEM32>\updater2\lol2.cmd /f

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\updater3\Config\clcmds.txt
<SYSTEM32>\updater3\Config\Advanced\masters.txt
<SYSTEM32>\updater3\Config\mappings.txt
<SYSTEM32>\updater3\Config\hostnames.txt
<SYSTEM32>\updater2\update.exe
<SYSTEM32>\updater2\config.txt
<SYSTEM32>\updater2\Config\redirect.txt
<SYSTEM32>\updater2\lol2.cmd
<SYSTEM32>\updater2\lol.bat
<SYSTEM32>\updater3\lol2.cmd
<SYSTEM32>\updater3\lol.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ska4at-cs.org[1]
<SYSTEM32>\updater3\svchost.exe
<SYSTEM32>\updater3\config.txt
<SYSTEM32>\updater3\Config\players.txt
<SYSTEM32>\updater3\Config\maps.txt
<SYSTEM32>\updater3\Config\rules.txt
<SYSTEM32>\updater3\Config\redirect.txt
<SYSTEM32>\updater2\Config\players.txt
<SYSTEM32>\updater\Config\maps.txt
<SYSTEM32>\updater\Config\mappings.txt
<SYSTEM32>\updater\Config\redirect.txt
<SYSTEM32>\updater\Config\players.txt
<SYSTEM32>\updater\Config\hostnames.txt
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp
<SYSTEM32>\updater\Config\clcmds.txt
<SYSTEM32>\updater\Config\Advanced\masters.txt
<SYSTEM32>\updater2\Config\hostnames.txt
<SYSTEM32>\updater2\Config\clcmds.txt
<SYSTEM32>\updater2\Config\maps.txt
<SYSTEM32>\updater2\Config\mappings.txt
<SYSTEM32>\updater2\Config\Advanced\masters.txt
<SYSTEM32>\updater\lol.bat
<SYSTEM32>\updater\config.txt
<SYSTEM32>\updater\wininit.exe
<SYSTEM32>\updater\lol2.cmd