Trojan.Click2.3824

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,6...
[HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,6...
[HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,6...
[HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,6...
[HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,6...

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\NetHomeIDE] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\NetHomeIDE] 'ImagePath' = '<SYSTEM32>\svchost.exe -k mysysgroup3'
[HKLM\SYSTEM\CurrentControlSet\Services\NetHomeIDE\Parameters] 'ServiceDll' = '<SYSTEM32>\idecomp.dll'

Создает следующие сервисы

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

Удаляет следующие файлы

Перемещает следующие файлы

%ProgramFiles(x86)%\baidu\is-7pl1i.tmp в %ProgramFiles(x86)%\baidu\passthru.dll
%ProgramFiles(x86)%\baidu\is-8hvka.tmp в %ProgramFiles(x86)%\baidu\dsetup.exe
%ProgramFiles(x86)%\baidu\is-uf2c8.tmp в %ProgramFiles(x86)%\baidu\sumpod.sys
%ProgramFiles(x86)%\baidu\is-ijt75.tmp в %ProgramFiles(x86)%\baidu\sumpod-nos.sys
%ProgramFiles(x86)%\baidu\is-soctv.tmp в %ProgramFiles(x86)%\baidu\newnetgar.dll
%ProgramFiles(x86)%\baidu\is-84j1b.tmp в %ProgramFiles(x86)%\baidu\spass.dll
%ProgramFiles(x86)%\baidu\is-p7f8c.tmp в %ProgramFiles(x86)%\baidu\msfsg.exe
%ProgramFiles(x86)%\baidu\is-vhoqq.tmp в %ProgramFiles(x86)%\baidu\netsf.inf
%ProgramFiles(x86)%\baidu\is-j7v39.tmp в %ProgramFiles(x86)%\baidu\netsf_m.inf
%ProgramFiles(x86)%\baidu\is-0omaq.tmp в %ProgramFiles(x86)%\baidu\sysdat.bin

Другое

Создает и запускает на исполнение

'%TEMP%\is-lh4qj.tmp\<Имя файла>.tmp' /SL5="$A01A2,823068,54272,<Полный путь к файлу>"
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s passthru.dll -d passthru.dll
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s dsetup.exe -d dsetup.exe
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s spass.dll -d spass.dll
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s newnetgar.dll -d newnetgar.dll
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s sumpod-nos.sys -d sumpod-nos.sys
'%ProgramFiles(x86)%\baidu\dsetup.exe' install
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s passthru.dll -d passthru.dll' (со скрытым окном)
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s dsetup.exe -d dsetup.exe' (со скрытым окном)
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s spass.dll -d spass.dll' (со скрытым окном)
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s newnetgar.dll -d newnetgar.dll' (со скрытым окном)
'%ProgramFiles(x86)%\baidu\msfsg.exe' md5 -s sumpod-nos.sys -d sumpod-nos.sys' (со скрытым окном)
'%ProgramFiles(x86)%\baidu\dsetup.exe' install' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\idecomp.dll RundllInstall NetHomeIDE' (со скрытым окном)