Trojan.DownLoad3.26015

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nst3.tmp\QvodInit.exe' WriteIni
'%TEMP%\nst3.tmp\QvodInit.exe' Google
'<SYSTEM32>\inatinfo.exe'
'<SYSTEM32>\QvodSetup3.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\ShellFolder" /ve /d 00.00.00.00 /f
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\OpenHomePage\Command" /ve /d "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.vv##23.cn" /f
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\OpenHomePage" /ve /d "┤Є┐к╓ў╥│(&H)" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\Q" /ve /d "╔╛│¤(&D)" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\ShellFolder" /v Attributes /t REG_DWORD /d 10 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\Namespace\{871C5380-42A0-1069-A2EA-08002B30309B}" /ve /d "Internet Explorer" /f
'%WINDIR%\regedit.exe' /s sy.reg
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\Q\Command" /ve /d "Rundll32.exe" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\╩Ї╨╘(&R)\Command" /ve /d "rundll32.exe shell32.dll,Control_RunDLL inetcpl.cpl,,0" /f
'<SYSTEM32>\wscript.exe' "<SYSTEM32>\link.vbs"
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v {871C5380-42A0-1069-A2EA-08002B30309B} /t REG_DWORD /d 0 /f
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\tb.bat" "
'<SYSTEM32>\wscript.exe' "<SYSTEM32>\system.vbs"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\tos.bat" "
'<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
'<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 128 C:\TmpInf.inf
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\InProcServer32" /ve /d "<SYSTEM32>\shdocvw.dll" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\DefaultIcon" /ve /d "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE,0" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}" /ve /d "Internet Explorer" /f
'<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nst3.tmp\QvodInit.exe
%TEMP%\nst3.tmp\qvod1.ini
%TEMP%\nst3.tmp\google.ini
%TEMP%\nst3.tmp\gtapi_signed.dll
<SYSTEM32>\ExpIorer.vbs
<SYSTEM32>\腾讯QQ.lnk
%TEMP%\nst3.tmp\LangDLL.dll
%TEMP%\nsi2.tmp
%TEMP%\nst3.tmp\t5_toolbar.bmp
%HOMEPATH%\Desktop\Internet Explorer.lnk
C:\TmpInf.inf
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╞Ї╢п Internet Explorer фп└└╞ў.lnk
%HOMEPATH%\Favorites\═°╓╖╓о╝╥.lnk
%TEMP%\nst3.tmp\ioSpecial.ini
%TEMP%\nst3.tmp\qvod2.ini
%TEMP%\nst3.tmp\InstallOptions.dll
%TEMP%\nst3.tmp\modern-wizard.bmp
<SYSTEM32>\Internet Exporer.lnk
<SYSTEM32>\Internet Explorer.url
<SYSTEM32>\movie.ico
<SYSTEM32>\link.vbs
<SYSTEM32>\Internet ExpIorer.lnk
<SYSTEM32>\inatinfo.exe
<SYSTEM32>\Internet Explorer.lnk
<SYSTEM32>\Internet ExpIorer.url
<SYSTEM32>\qq.ico
<SYSTEM32>\tb.bat
<SYSTEM32>\systems.vbs
<SYSTEM32>\tos.bat
<SYSTEM32>\tbkj.bat
<SYSTEM32>\ss.reg
<SYSTEM32>\QvodSetup3.exe
<SYSTEM32>\system.vbs
<SYSTEM32>\sy.reg