Trojan.Click2.58312

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'baidu' = '%WINDIR%\ao\system.exe '

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\ie.vbe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\index.vbe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Создает и запускает на исполнение:

'%PROGRAM_FILES%\kw\vlm.exe'
'%WINDIR%\ao\system.exe'

Запускает на исполнение:

'<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\Start Menu\Programs\Startup\index.vbe" 0
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internt Explorer.1nk" /e /c /r users
'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\ab\dllvrawp.dll"
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internt Explorer.1nk" /e /c /r system
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Internt Explorer.1nk" /e /c /r user
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Internt Explorer.1nk" /e /c /r everyone
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internt Explorer.1nk" /e /c /r %USERNAME%
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internt Explorer.1nk" /e /c /r %USERNAME%s
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internt Explorer.1nk" /e /c /r everyone
'%WINDIR%\regedit.exe' /s %WINDIR%\WindowsMy.reg
'<SYSTEM32>\wscript.exe' %WINDIR%\del.tmp.bho.bho.vbs
'%WINDIR%\regedit.exe' /s %WINDIR%\search.reg
'%WINDIR%\regedit.exe' /s %WINDIR%\SIndex.reg
'<SYSTEM32>\wscript.exe' %WINDIR%\del.tmp.vbs
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internt Explorer.1nk" /e /c /r user
'%WINDIR%\regedit.exe' /s %WINDIR%\reg.reg
'<SYSTEM32>\wscript.exe' "%WINDIR%\5\searchOld.vbe" 0
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\Internt Explorer.1nk" /e /c /r user
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\Internt Explorer.1nk" /e /c /r everyone
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Internt Explorer.1nk" /e /c /r %USERNAME%
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Internt Explorer.1nk" /e /c /r %USERNAME%s
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\Internt Explorer.1nk" /e /c /r %USERNAME%
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\Internt Explorer.1nk" /e /c /r %USERNAME%s
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\Internt Explorer.1nk" /e /c /r system
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\Internt Explorer.1nk" /e /c /r users
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Internt Explorer.1nk" /e /c /r users
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Internt Explorer.1nk" /e /c /r users
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Internt Explorer.1nk" /e /c /r %USERNAME%
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Internt Explorer.1nk" /e /c /r system
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v "baidu" /d "%WINDIR%\ao\system.exe " /f
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Internt Explorer.1nk" /e /c /r everyone
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Internt Explorer.1nk" /e /c /r system
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Internt Explorer.1nk" /e /c /r %USERNAME%s
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Internt Explorer.1nk" /e /c /r user

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\5\searchOld.vbe
%WINDIR%\WindowsMy.reg
%WINDIR%\del.tmp.vbs
%WINDIR%\reg.reg
%WINDIR%\del.tmp.bho.bho.vbs
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.url
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Explorer.url
%WINDIR%\SIndex.reg
%WINDIR%\search.reg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\work[1].aspx
%WINDIR%\ao\system.exe
%WINDIR%\userid.txt
%PROGRAM_FILES%\kw\vlm.exe
%PROGRAM_FILES%\ab\dllvrawp.dll
%PROGRAM_FILES%\mygoogle\jgozgpjcfd.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\data[1].xml
%WINDIR%\87\indexOlds.vbe