Trojan.Click3.2663

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\ShellFolder" /ve /d 00.00.00.00 /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\Q" /ve /d "╔╛│¤(&D)" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\OpenHomePage\Command" /ve /d "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.42##44.com/" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\OpenHomePage" /ve /d "┤Є┐к╓ў╥│(&H)" /f
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\ShellFolder" /v Attributes /t REG_DWORD /d 10 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\Namespace\{871C5380-42A0-1069-A2EA-08002B30309B}" /ve /d "Internet Explorer" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\╩Ї╨╘(&R)\Command" /ve /d "rundll32.exe shell32.dll,Control_RunDLL inetcpl.cpl,,0" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\Shell\Q\Command" /ve /d "Rundll32.exe" /f
'%WINDIR%\regedit.exe' /s sy.reg
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\InProcServer32" /ve /d "<SYSTEM32>\shdocvw.dll" /f
'<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v {871C5380-42A0-1069-A2EA-08002B30309B} /t REG_DWORD /d 0 /f
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\t.bat" "
'<SYSTEM32>\wscript.exe' "<SYSTEM32>\system.vbs"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\hos.bat" "
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}\DefaultIcon" /ve /d "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE,0" /f
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 128 C:\TmpInf.inf
'<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
'<SYSTEM32>\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309B}" /ve /d "Internet Explorer" /f

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\腾讯QQ.lnk
<SYSTEM32>\systemkj.vbs
<SYSTEM32>\system.vbs
<SYSTEM32>\T.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index3[1].html
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╞Ї╢п Internet Explorrer фп└└╞ў.lnk
C:\TmpInf.inf
<SYSTEM32>\sy.reg
<SYSTEM32>\Internet Explorer.url
<SYSTEM32>\Internet Explorer.lnk
<SYSTEM32>\hos.bat
<SYSTEM32>\Internet Exporer.lnk
<SYSTEM32>\ss.reg
<SYSTEM32>\qq.ico
<SYSTEM32>\kuaijie.bat