Trojan.Click3.31263

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' firewall set allowedprogram "<Полный путь к файлу>" chrome ENABLE
'%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.dianxin.cn/index_232.html

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\windows\privacie\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

<Полный путь к файлу>

Изменяет следующие файлы

%APPDATA%\microsoft\windows\cookies\index.dat

Сетевая активность

Подключается к

'di##xin.cn':80
'cd#.#ootcdn.net':443
'hm.##idu.com':443

TCP

Запросы HTTP GET

http://www.di##xin.cn/index_232.html
http://www.di##xin.cn/uploads/allimg/230717/1-230GG35043F4-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG3433TR-lp.jpg
http://www.di##xin.cn/uploads/allimg/221123/1-22112314092H31-lp.png
http://www.di##xin.cn/uploads/allimg/221128/1-22112Q13K3N5-lp.png
http://www.di##xin.cn/uploads/allimg/221107/1-22110G14T0-lp.png
http://www.di##xin.cn/uploads/allimg/221107/1-22110F95304-lp.png
http://www.di##xin.cn/uploads/allimg/221124/1-221124134A3304-lp.png
http://www.di##xin.cn/uploads/allimg/221123/1-221123142TB34-lp.png
http://www.di##xin.cn/uploads/allimg/221123/1-22112314511T27-lp.png
http://www.di##xin.cn/uploads/allimg/230717/1-230GG352391b-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG35005260-lp.jpg
http://www.di##xin.cn/uploads/allimg/221107/1-22110F94631-lp.png
http://www.di##xin.cn/uploads/allimg/230914/1-230914112551158-lp.jpg
http://www.di##xin.cn/templets/static/images/logo.gif
http://www.di##xin.cn/templets/static/images/header_interval.png
http://www.di##xin.cn/skin/Picture/search-bg.gif
http://www.di##xin.cn/uploads/allimg/230824/1-230R41449362X-lp.jpg
http://www.di##xin.cn/uploads/allimg/230824/1-230R4152523V2-lp.jpg
http://www.di##xin.cn/templets/static/images/search-top-bg.gif
http://www.di##xin.cn/templets/static/images/fbico.gif
http://www.di##xin.cn/uploads/allimg/230717/1-230GG44952455-lp.jpg
http://www.di##xin.cn/uploads/allimg/221125/1-2211251G54VK-lp.png
http://www.di##xin.cn/templets/static/images/fl-bg.gif
http://www.di##xin.cn/uploads/allimg/221125/1-2211251HIU59-lp.png
http://www.di##xin.cn/uploads/allimg/230717/1-230GG4514TZ-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG4512N24-lp.jpg
http://www.di##xin.cn/templets/static/css/global.css
http://www.di##xin.cn/templets/static/js/dropdown.js
http://www.di##xin.cn/templets/static/js/mpc_1.js
http://www.di##xin.cn/skin/Picture/search-bt.gif
http://www.di##xin.cn/templets/static/images/header_bg.png
http://www.di##xin.cn/uploads/allimg/230411/1-230411135Q2C8-lp.jpg
http://www.di##xin.cn/uploads/allimg/230923/1-230923144U1T5-lp.jpg
http://www.di##xin.cn/uploads/allimg/230914/1-2309141121293Q-lp.jpg
http://www.di##xin.cn/uploads/allimg/230923/1-230923153125910-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG33939114-lp.jpg
http://www.di##xin.cn/images/js/dropdown.js
http://www.di##xin.cn/uploads/allimg/230914/1-230914110033322-lp.jpg
http://www.di##xin.cn/uploads/allimg/230907/1-230ZG53601O9-lp.jpg
http://www.di##xin.cn/uploads/allimg/230901/09523332I-0-lp.jpg
http://www.di##xin.cn/uploads/allimg/230901/094RI346-0-lp.jpg
http://www.di##xin.cn/uploads/allimg/230817/1-230QG40441264-lp.jpg
http://www.di##xin.cn/uploads/allimg/230803/1-230P31004051I-lp.jpg
http://www.di##xin.cn/uploads/allimg/230728/1-230HQ1340Q27-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG44QCI-lp.jpg
http://www.di##xin.cn/uploads/allimg/221123/1-22112314393A30-lp.png
http://www.di##xin.cn/uploads/allimg/230717/1-230GG44U5a0-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG45112N1-lp.jpg
http://www.di##xin.cn/uploads/allimg/230907/1-230ZG51ZN31-lp.jpg
http://www.di##xin.cn/uploads/allimg/230817/1-230QG1404B00-lp.jpg
http://www.di##xin.cn/uploads/allimg/230717/1-230GG45035Z7-lp.jpg

Другие

'cd#.#ootcdn.net':443
'hm.##idu.com':443

UDP

DNS ASK ln#.#ay678.com
DNS ASK di##xin.cn
DNS ASK cd#.#ootcdn.net
DNS ASK hm.##idu.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Static' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' firewall set allowedprogram "<Полный путь к файлу>" chrome ENABLE' (со скрытым окном)
'%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.dianxin.cn/index_232.html' (со скрытым окном)