Trojan.Click3.3413

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\hzsoft\s1014.exe'
'<Текущая директория>\hzsoft\chaosu_2075_R.exe'
'<Текущая директория>\hzsoft\IFoxInstall-y-c203945859-run-s-x.exe'
'<Текущая директория>\hzsoft\kuping_s_50996.exe'
'<Текущая директория>\hzsoft\setup_open_341.exe'
'<Текущая директория>\hzsoft\GGSafe_tjywmax(52).exe'
'<Текущая директория>\hzsoft\setupX_054.exe'
'<Текущая директория>\hzsoft\xiaocai_setup_cy_1381374315473.exe'
'<Текущая директория>\hzsoft\dianxin_silent[57].exe'
'<Текущая директория>\hzsoft\GGSafe_tjywmax(52).exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\kuping_s_50996.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\setup_open_341.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\xiaocai_setup_cy_1381374315473.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\IFoxInstall-y-c203945859-run-s-x.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\setupX_054.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\chaosu_2075_R.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\s1014.exe' (загружен из сети Интернет)
'<Текущая директория>\hzsoft\dianxin_silent[57].exe' (загружен из сети Интернет)

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\hzsoft\s1014.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\GGSafe_tjywmax(52)[1].exe
<Текущая директория>\hzsoft\chaosu_2075_R.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\s1014[1].exe
<Текущая директория>\hzsoft\GGSafe_tjywmax(52).exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kuping_s_50996[1].exe
<Текущая директория>\hzsoft\kuping_s_50996.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\setup_open_341[1].exe
<Текущая директория>\hzsoft\setup_open_341.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\dianxin_silent[57][1].exe
<Текущая директория>\hzsoft\dianxin_silent[57].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xiaocai_setup_cy_1381374315473[1].exe
<Текущая директория>\hzsoft\xiaocai_setup_cy_1381374315473.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\setupX_054[1].exe
<Текущая директория>\hzsoft\IFoxInstall-y-c203945859-run-s-x.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\chaosu_2075_R[1].exe
<Текущая директория>\hzsoft\setupX_054.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\IFoxInstall-y-c203945859-run-s-x[1].exe

Сетевая активность:

Подключается к:

'do###.xzskycn.com':80
'www.sj##.com':80
'do####ad.wuji.com':80
'do####ad.wallba.com':80
'do####ad.yykc.com':81
'xz.##005.com':80
'do#####d.wk12345.com':80
'localhost':1036
'xz.##anquan.com':80
'11#.#1.183.24':80
'www.yl##js.com':80

TCP:

Запросы HTTP GET:

do###.xzskycn.com/hzsoft/GGSafe_tjywmax(52).exe
www.sj##.com/hezi/jm/s1014.exe
do####ad.wallba.com/download.php/kuping_s_50996.exe
do####ad.wuji.com/wuji/open/setup_open_341.exe
xz.##005.com/download.php/chaosu_2075_R.exe
xz.##anquan.com/download/dianxin_silent[57].exe
do#####d.wk12345.com/xczm/xiaocai_setup_cy_1381374315473.exe
11#.#1.183.24/ifox/TGQgoEo3TGwCodVok5XuJEsdJwuYq5QdqwXYol-WaExNs91v/IFoxInstall-y-c203945859-run-s-x.exe
www.yl##js.com/setupX_054.exe

UDP: