Trojan.Click3.33275

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\software\Wow6432Node\microsoft\windows\currentversion\run] 'run32' = '<SYSTEM32>\rundl32.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\rcxsrv

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\cpp.ini
%WINDIR%\files\maps\rotes reich map 2.data
%TEMP%\aut38c5.tmp
%WINDIR%\files\maps\blaues reich map 1.data
%TEMP%\aut38c6.tmp
%WINDIR%\files\maps\blaues reich map 2.data
%TEMP%\aut38e6.tmp
%WINDIR%\files\maps\gelbes reich map 1.data
%TEMP%\aut3925.tmp
%WINDIR%\files\maps\gelbes reich map 2.data
%TEMP%\aut3965.tmp
%WINDIR%\files\maps\eisland.data
%WINDIR%\files\maps\rotes reich map 1.data
%TEMP%\aut3885.tmp
%TEMP%\aut3994.tmp
%WINDIR%\files\maps\geister wald.data
%TEMP%\aut39e4.tmp
%WINDIR%\files\maps\groГџe wГјste.data
%TEMP%\aut3a14.tmp
%WINDIR%\files\maps\land der riesen.data
%TEMP%\aut3a44.tmp
%WINDIR%\files\maps\orktal.data
%TEMP%\aut3a45.tmp
%WINDIR%\files\maps\ox-wettbewerb.data
%TEMP%\aut3a46.tmp
%WINDIR%\files\maps\schlangenfeld.data
%WINDIR%\files\maps\feuerland.data
%TEMP%\aut39b5.tmp
%TEMP%\aut3855.tmp
%WINDIR%\files\bilder\elitepvpers.data
%TEMP%\aut3835.tmp
%WINDIR%\rcx.p1
%WINDIR%\rcx.p2
%WINDIR%\system\winlogon.p1
%WINDIR%\system\winlogon.p2
%WINDIR%\syswow64\rundl32.p1
%WINDIR%\syswow64\rundl32.p2
%WINDIR%\rcx3
%WINDIR%\rcx3.dll
%WINDIR%\system\winlogon.exe
%WINDIR%\syswow64\system32.dll
%ProgramFiles(x86)%\internet explorer\wsock32.dll
%ProgramFiles(x86)%\opera\wsock32.dll
%WINDIR%\syswow64\libeax.dll
%WINDIR%\epvp-mhs 4.1 by marcopolo , banjo & remus.exe
%TEMP%\aut3764.tmp
%TEMP%\xbhlvwz
%TEMP%\aut37e2.tmp
%WINDIR%\files\bilder\background.data
%TEMP%\aut3812.tmp
%WINDIR%\files\bilder\djmax.data
%TEMP%\aut3813.tmp
%WINDIR%\files\bilder\grГјn.data
%TEMP%\aut3824.tmp
%WINDIR%\files\bilder\rot.data
%TEMP%\aut3834.tmp
%WINDIR%\files\bilder\marcopolo.data
%WINDIR%\syswow64\rundl32.exe
%TEMP%\aut3a66.tmp
%WINDIR%\files\maps\tempel.data

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\files\bilder\background.data
%WINDIR%\files\maps\ox-wettbewerb.data
%WINDIR%\files\maps\orktal.data
%WINDIR%\files\maps\land der riesen.data
%WINDIR%\files\maps\groГџe wГјste.data
%WINDIR%\files\maps\geister wald.data
%WINDIR%\files\maps\feuerland.data
%WINDIR%\files\maps\eisland.data
%WINDIR%\files\maps\gelbes reich map 2.data
%WINDIR%\files\maps\schlangenfeld.data
%WINDIR%\files\maps\gelbes reich map 1.data
%WINDIR%\files\maps\blaues reich map 1.data
%WINDIR%\files\maps\rotes reich map 2.data
%WINDIR%\files\maps\rotes reich map 1.data
%WINDIR%\files\bilder\elitepvpers.data
%WINDIR%\files\bilder\marcopolo.data
%WINDIR%\files\bilder\rot.data
%WINDIR%\files\bilder\grГјn.data
%WINDIR%\files\bilder\djmax.data
%WINDIR%\files\maps\blaues reich map 2.data
%WINDIR%\files\maps\tempel.data

Удаляет следующие файлы

%TEMP%\aut3764.tmp
%TEMP%\aut3a45.tmp
%TEMP%\aut3a44.tmp
%TEMP%\aut3a14.tmp
%TEMP%\aut39e4.tmp
%TEMP%\aut39b5.tmp
%TEMP%\aut3994.tmp
%TEMP%\aut3965.tmp
%TEMP%\aut3925.tmp
%TEMP%\aut38e6.tmp
%TEMP%\aut3a46.tmp
%TEMP%\aut38c6.tmp
%TEMP%\aut3885.tmp
%TEMP%\aut3855.tmp
%TEMP%\aut3835.tmp
%TEMP%\aut3834.tmp
%TEMP%\aut3824.tmp
%TEMP%\aut3813.tmp
%TEMP%\aut3812.tmp
%TEMP%\aut37e2.tmp
%TEMP%\xbhlvwz
%TEMP%\aut38c5.tmp
%TEMP%\aut3a66.tmp

Другое

Создает и запускает на исполнение

'%WINDIR%\epvp-mhs 4.1 by marcopolo , banjo & remus.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c copy /b %WINDIR%\rcx.p1 + %WINDIR%\rcx.p2 %WINDIR%\rcx3 (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c copy /b %WINDIR%\system\winlogon.p1 + %WINDIR%\system\winlogon.p2 %WINDIR%\system\winlogon.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c copy /b <SYSTEM32>\rundl32.p1 + <SYSTEM32>\rundl32.p2 <SYSTEM32>\rundl32.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C schtasks /create /ru system /sc co_minutГЄ /mo 3 /tn rcxsrv /tr %windir%\system\winlogon.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C schtasks /create /ru system /sc minute /mo 3 /tn rcxsrv /tr %windir%\system\winlogon.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C reg add HKLM\software\microsoft\windows\currentversion\run /v run32 /d "<SYSTEM32>\rundl32.exe" /f (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /ru system /sc minute /mo 3 /tn rcxsrv /tr %WINDIR%\system\winlogon.exe
'%WINDIR%\syswow64\schtasks.exe' /create /ru system /sc co_minutГЄ /mo 3 /tn rcxsrv /tr %WINDIR%\system\winlogon.exe
'%WINDIR%\syswow64\reg.exe' add HKLM\software\microsoft\windows\currentversion\run /v run32 /d "<SYSTEM32>\rundl32.exe" /f