Trojan.Click3.2774

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЧАГж\IEXPLORE.EXE.lnk /e /G everyone:F
'<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Intern~1.lnk /E /C /R %USERNAME% %USERNAME%s "Power Users" SYSTEM Users "Authenticated Users" "CREATOR OWNER"
'<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶ЇIn~1.lnk /e /p everyone:r
'<SYSTEM32>\attrib.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶ЇIn~1.lnk +r
'<SYSTEM32>\regini.exe' %TEMP%\\RegGuest.INI
'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЧАГж\IEXPLORE.EXE.lnk /E /C /R %USERNAME% %USERNAME%s "Power Users" SYSTEM Users "Authenticated Users" "CREATOR OWNER"
'<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Intern~1.lnk /e /p everyone:r
'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЧАГж\Maxthon2.lnk /e /G everyone:F
'<SYSTEM32>\attrib.exe' %HOMEPATH%\ЧАГж\Maxthon2.lnk -r
'<SYSTEM32>\attrib.exe' %ALLUSERSPROFILE%\ЧАГж\Maxthon2.lnk -r
'<SYSTEM32>\cacls.exe' %HOMEPATH%\ЧАГж\Maxthon2.lnk /e /G everyone:F
'<SYSTEM32>\attrib.exe' %HOMEPATH%\ЧАГж\IEXPLORE.EXE.lnk -r
'<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶ЇIn~1.lnk /E /C /R %USERNAME% %USERNAME%s "Power Users" SYSTEM Users "Authenticated Users" "CREATOR OWNER"
'<SYSTEM32>\attrib.exe' %ALLUSERSPROFILE%\ЧАГж\IEXPLORE.EXE.lnk -r
'<SYSTEM32>\cacls.exe' %HOMEPATH%\ЧАГж\IEXPLORE.EXE.lnk /e /G everyone:F
'<SYSTEM32>\cacls.exe' %HOMEPATH%\ЧАГж\*.lnk /e /G %USERNAME%:F
'<SYSTEM32>\wscript.exe' "%TEMP%\reg.vbs"
'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЧАГж\*.lnk /e /G %USERNAME%:F
'<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\*.lnk /e /G everyone:F
'<SYSTEM32>\regini.exe' %TEMP%\\RegAdmin.INI
'<SYSTEM32>\cacls.exe' %HOMEPATH%\ЧАГж\*.lnk /e /G everyone:F
'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЧАГж\*.lnk /e /G everyone:F
'<SYSTEM32>\cacls.exe' %HOMEPATH%\ЧАГж\IEXPLORE.EXE.lnk /E /C /R %USERNAME% %USERNAME%s "Power Users" SYSTEM Users "Authenticated Users" "CREATOR OWNER"
'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЧАГж\IEXPLORE.EXE.lnk /e /p everyone:r
'<SYSTEM32>\attrib.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Intern~1.lnk +r
'<SYSTEM32>\attrib.exe' %ALLUSERSPROFILE%\ЧАГж\IEXPLORE.EXE.lnk +r
'<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\*.lnk /e /G %USERNAME%:F
'<SYSTEM32>\attrib.exe' %HOMEPATH%\ЧАГж\IEXPLORE.EXE.lnk +r
'<SYSTEM32>\cacls.exe' %HOMEPATH%\ЧАГж\IEXPLORE.EXE.lnk /e /p everyone:r

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Main] 'Window Title' = 'Microsoft Internet Explorer'
[<HKCU>\Software\Microsoft\Internet Explorer\Main] 'Window Title' = 'Microsoft Internet Explorer'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы: