Trojan.Click2.13019

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\At16.job
%WINDIR%\Tasks\At17.job
%WINDIR%\Tasks\At18.job
%WINDIR%\Tasks\At13.job
%WINDIR%\Tasks\At14.job
%WINDIR%\Tasks\At15.job
%WINDIR%\Tasks\At22.job
%WINDIR%\Tasks\At23.job
%WINDIR%\Tasks\At24.job
%WINDIR%\Tasks\At19.job
%WINDIR%\Tasks\At20.job
%WINDIR%\Tasks\At21.job
%WINDIR%\Tasks\At4.job
%WINDIR%\Tasks\At5.job
%WINDIR%\Tasks\At6.job
%WINDIR%\Tasks\At1.job
%WINDIR%\Tasks\At2.job
%WINDIR%\Tasks\At3.job
%WINDIR%\Tasks\At10.job
%WINDIR%\Tasks\At11.job
%WINDIR%\Tasks\At12.job
%WINDIR%\Tasks\At7.job
%WINDIR%\Tasks\At8.job
%WINDIR%\Tasks\At9.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\Temp\data.dll'
'%WINDIR%\Temp\server.exe'
'%WINDIR%\Temp\¶МРЕ№Ґ»чЖч(»бФ±ЖЖЅв°ж).exe'

Запускает на исполнение:

'<SYSTEM32>\at.exe' 14:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 15:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 16:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 13:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 10:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 11:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 12:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 17:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 22:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 23:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 24:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 21:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 18:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 19:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 20:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\net1.exe' start "Task Scheduler"
'<SYSTEM32>\at.exe' 0:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 1:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\sc.exe' config Schedule start= auto
'<SYSTEM32>\cmd.exe' /c %WINDIR%\9A0EE979\JH.BAT
'<SYSTEM32>\schtasks.exe' /delete /tn * /f
'%WINDIR%\explorer.exe' "http://ft######y.v8.dns-dns.net/zuan.htm"
'<SYSTEM32>\at.exe' 2:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 7:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 8:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 9:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 6:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 3:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 4:00 /interactive %WINDIR%\9A0EE979\svchsot.exe
'<SYSTEM32>\at.exe' 5:00 /interactive %WINDIR%\9A0EE979\svchsot.exe

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\9A0EE979\JH.BAT
%WINDIR%\Temp\data.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zuan[1].htm
%TEMP%\$webpath.txt
%WINDIR%\Temp\server.exe
%WINDIR%\Temp\2BГЁ№Ґ»чіМРт.exe
%TEMP%\$readtxttemp.txt
%WINDIR%\Temp\¶МРЕ№Ґ»чЖч(»бФ±ЖЖЅв°ж).exe

Удаляет следующие файлы: