Trojan.Click2.57574

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://ne##.sogou.com/?p=####################################
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://18#.#2.170.123/green/count1.asp?Us###########################################################################################################

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\pipi_setup_346.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pipi_online[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pipi_online[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\news.sogou[1]
%WINDIR%\kinstallers_65_87.exe
%PROGRAM_FILES%\Vdyjsxqikx\90
%WINDIR%\unrar.dll
<DRIVERS>\ЕдЦГ.ini
<DRIVERS>\Rasrt.rar
%TEMP%\kingsoftkonline\kinstallers_65_87.exe.tmp
<DRIVERS>\Rasrt.rar.tmp
%WINDIR%\nvsvc64.exe
%WINDIR%\YYdt.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\s[1]
C:\360tp
%WINDIR%\CPAX_Nilrvb_ACC.exe
%WINDIR%\pipi_ins_346.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\count1[1].asp
%PROGRAM_FILES%\Ojwgiv Pxiasrsx\RCX1.tmp
%PROGRAM_FILES%\Vdyjsxqikx\Record.dat
%PROGRAM_FILES%\Ojwgiv Pxiasrsx\explorer.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pipi_online[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pipi_online[1].exe
<DRIVERS>\Rasrt.rar.tmp
%WINDIR%\pipi_setup_346.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\count1[1].asp
%PROGRAM_FILES%\Ojwgiv Pxiasrsx\explorer.exe
%TEMP%\~DF4295.tmp
%WINDIR%\CPAX_Nilrvb_ACC.exe
%PROGRAM_FILES%\Vdyjsxqikx\Record.dat

Перемещает следующие файлы:

%TEMP%\kingsoftkonline\kinstallers_65_87.exe.tmp в %TEMP%\kingsoftkonline\kinstallers_65_87.exe
%PROGRAM_FILES%\Ojwgiv Pxiasrsx\RCX1.tmp в %PROGRAM_FILES%\Ojwgiv Pxiasrsx\explorer.exe

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#####################################################################################################################
cd###.www.duba.net/duba/install/2011/ever/kavsetups_65_87.exe
ko###aowg.com/Rasrt.rar
dl.#ipi.cn/pipi_online.exe
www.ba##u.com/s?wd#########################
18#.#2.170.123/green/count1.asp?Us###########################################################################################################
ne##.sogou.com/?p=####################################

UDP:

Другое:

Ищет следующие окна:

ClassName: '' WindowName: '??????????????????????'
ClassName: '???????? - ???????????????? - ????????????' WindowName: ''
ClassName: 'PPS????????' WindowName: ''
ClassName: 'PPTV????????' WindowName: ''
ClassName: '' WindowName: '????????'
ClassName: 'SystemTray_Main' WindowName: ''
ClassName: 'CSCHiddenWindow' WindowName: ''
ClassName: '' WindowName: '??f??C??'
ClassName: '' WindowName: '????'
ClassName: '' WindowName: '??????????'
ClassName: '' WindowName: ''
ClassName: 'Proxy Desktop' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '' WindowName: '????????????'
ClassName: 'Wise???????????????????????????????????????? - WiseIE???? - WiseIE???????? - Microsoft Internet Explorer' WindowName: ''
ClassName: 'CabinetWClass' WindowName: ''
ClassName: 'BaseBar' WindowName: 'ChanApp'
ClassName: 'SysListView32' WindowName: ''