Trojan.Click3.7196

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\top.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zhinanzhenbrowser.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\hsreg.exe] 'Debugger' = '<SYSTEM32>\ruixing.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avant.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\See9IE.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\XWebStar.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SaaYaa.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TouchNet.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MyIE.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe] 'Debugger' = '<SYSTEM32>\ruixing.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safebox.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RSTray.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360SE.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kastray.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ast.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\srgui.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\winpatrol.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sriecli.exe] 'Debugger' = '<SYSTEM32>\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\tango.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Maxthon.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\opera.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TTraveler.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\chrome.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\firefox.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'kaa' = '%CommonProgramFiles%\Microsoft Shared\mocrosoft.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'ringsig' = '%ALLUSERSPROFILE%\Application Data\shared.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\theworld.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Classes\HTTP\shell\open\command] '' = '"%PROGRAM_FILES%\Internet Explorer\IEXPLORE" ""'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KylinBrowser.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IERepair.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iemate.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GreenBrowser.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SogouExplorer.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Start.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MiniIE.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vu.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AdoIE.exe] 'Debugger' = 'C:\iexplor.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\suda.exe] 'Debugger' = 'C:\iexplor.bat'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Создает и запускает на исполнение:

'C:\fsaffffsa.exe'
'C:\fsafas.exe'
'%TEMP%\a.exe'
'%TEMP%\uinstall.exe'
'%TEMP%\shared.exe'

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +H +A +S +R "%CommonProgramFiles%\Microsoft Shared\mocrosoft.exe"
'%WINDIR%\regedit.exe' /s key.reg
'<SYSTEM32>\attrib.exe' +H +A +S +R <SYSTEM32>\shared.exe
'<SYSTEM32>\attrib.exe' +H +A +S +R "%ALLUSERSPROFILE%\Application Data\shared.exe"
'%WINDIR%\regedit.exe' /s ffsa.reg
'<SYSTEM32>\ping.exe' 127.0.0.1 /n 1800
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.84##3.cn
'<SYSTEM32>\msiexec.exe' /regserver
'<SYSTEM32>\xcopy.exe' shared.exe <SYSTEM32>\ /y
'<SYSTEM32>\taskkill.exe' /f /im kastray.exe
'<SYSTEM32>\taskkill.exe' /f /im rfwmain.exe
'<SYSTEM32>\taskkill.exe' /f /im 360tray.exe
'<SYSTEM32>\taskkill.exe' /f /im rstray.exe
'<SYSTEM32>\taskkill.exe' /f /im PFW.exe
'<SYSTEM32>\taskkill.exe' /f /im Trojanwall.exe
'<SYSTEM32>\taskkill.exe' /f /im Iparmor.exe
'<SYSTEM32>\taskkill.exe' /f /im ast.exe

Завершает или пытается завершить

следующие пользовательские процессы:

360tray.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

C:\html\peer_down71.html
C:\html\peer_down72.html
C:\html\peer_down73.html
C:\html\home85.html
C:\html\peer_do.html
C:\html\peer_down.html
C:\html\peer_down74.html
%HOMEPATH%\Start Menu\Programs\Internet Explore.lnk\Internet Explore.lnk
C:\html\peer_down77.html
C:\html\peer_down78.html
%HOMEPATH%\Start Menu\Internet Explore.lnk
C:\html\peer_down75.html
C:\html\peer_down76.html
C:\Internet Explore.lnk
C:\key.reg
C:\html\home77.html
C:\html\home75.html
C:\iexplor.bat
C:\html\home76.html
C:\html\home78.html
C:\html\home82.html
C:\html\home83.html
C:\html\home84.html
C:\html\home79.html
C:\html\home80.html
C:\html\home81.html
C:\html\peer_se85.html
C:\Program\adtask.xml
C:\Program\gui.cfg
C:\html\peer_se82.html
C:\html\peer_se83.html
C:\html\peer_se84.html
<SYSTEM32>\skipxbar.dll
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╞Ї╢п Internet Explorer фп└└╞ў.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bar[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\84163[1]
C:\ffsa.reg
C:\fsafas.exe
%TEMP%\bt45263.bat
C:\html\peer_se73.html
C:\html\peer_se74.html
C:\html\peer_se75.html
C:\html\peer_down79.html
C:\html\peer_down80.html
C:\html\peer_recomm.html
C:\html\peer_se76.html
C:\html\peer_se79.html
C:\html\peer_se80.html
C:\html\peer_se81.html
C:\html\peer_se77.html
C:\html\peer_se78.html
%TEMP%\bt86511.bat
C:\Users\All Users\Desktop\Internet Explore.lnk
C:\config\config.ini
%ALLUSERSPROFILE%\Application Data\i\srh_5.gif
%ALLUSERSPROFILE%\Application Data\i\topbg01.gif
%ALLUSERSPROFILE%\Application Data\i\srh_2.gif
%ALLUSERSPROFILE%\Application Data\i\srh_3.gif
%ALLUSERSPROFILE%\Application Data\i\srh_4.gif
C:\config\enumwindow.ini
%ALLUSERSPROFILE%\Application Data\i\topbg04.gif
C:\Downloads\(写真集) - 美處女欲情.rar
%ALLUSERSPROFILE%\Application Data\i\topbg05.gif
%ALLUSERSPROFILE%\Application Data\i\topbg02.gif
%ALLUSERSPROFILE%\Application Data\i\topbg03.gif
C:\config\pfplayertemp.ini
%TEMP%\key.reg
%TEMP%\bt55367.bat
C:\fsaffffsa.exe
%TEMP%\a.exe
%TEMP%\shared.exe
%TEMP%\uinstall.exe
%ALLUSERSPROFILE%\Application Data\daohang.htm
%ALLUSERSPROFILE%\Application Data\i\gl_4.gif
%ALLUSERSPROFILE%\Application Data\i\gl_5.gif
%ALLUSERSPROFILE%\Application Data\i\srh_1.gif
%ALLUSERSPROFILE%\Application Data\i\gl_1.gif
%ALLUSERSPROFILE%\Application Data\i\gl_2.gif
%ALLUSERSPROFILE%\Application Data\i\gl_3.gif
%ALLUSERSPROFILE%\Application Data\images\sd_1.css
%ALLUSERSPROFILE%\Application Data\images\srh_1.gif
C:\Downloads\电脑四大核心硬件知识详解chm电子书(1)(4).rar
%ALLUSERSPROFILE%\Application Data\images\logo.jpg
C:\Downloads\狐孽 - 全文阅读 - 鱼水情言情小说原创文学书库 - 小说_玄幻_武侠_言情_都市_科幻.rar
C:\Downloads\琼瑞妮丝&露丝华思理-金赛性学报(电子书).rar
C:\Downloads\电脑故障维修大全(电子书).rar
C:\html\home.html
%CommonProgramFiles%\Microsoft Shared\mocrosoft.exe
C:\html\home74.html
C:\Downloads\采花录(花间曲) 全集完整版txt电子书(1).rar
%ALLUSERSPROFILE%\桌面\Internet Explore.lnk
%ALLUSERSPROFILE%\Application Data\shared.exe
%ALLUSERSPROFILE%\Application Data\i\zj_2.gif
C:\Downloads\6小说-笑话黄谜(1).rar
C:\Downloads\txt电子书_言情小说_[纳妾记]全集电子书txt.rar
C:\Downloads\100部经典电子书_全球通史(1).rar
<SYSTEM32>\shared.exe
C:\Downloads\100部经典电子书_法律法规(1).rar
C:\Downloads\txt电子书，全是经典 (1)(3)(1)(3)(2).rar
C:\Downloads\[电子书][書籍][圖書][武术][气功]睡功心法.rar
C:\Downloads\[电子书][書籍][圖書]犹太人为什么优秀.rar
C:\Downloads\报刊英语单词精华(电子书).rar
%ALLUSERSPROFILE%\Application Data\images\funb.js
C:\Downloads\[唐诗鉴赏大辞典](上中下)[exe][电子书](1)(4)(1).rar
%ALLUSERSPROFILE%\Application Data\images\gl_1.gif

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\Application Data\images\gl_1.gif
%ALLUSERSPROFILE%\Application Data\images\funb.js
%ALLUSERSPROFILE%\Application Data\images\sd_1.css
%ALLUSERSPROFILE%\Application Data\images\logo.jpg
%ALLUSERSPROFILE%\Application Data\i\topbg04.gif
%ALLUSERSPROFILE%\Application Data\i\topbg03.gif
%ALLUSERSPROFILE%\Application Data\i\zj_2.gif
%ALLUSERSPROFILE%\Application Data\i\topbg05.gif
%TEMP%\bt86511.bat
%CommonProgramFiles%\Microsoft Shared\mocrosoft.exe
%TEMP%\bt45263.bat
C:\fsafas.exe
C:\iexplor.bat
%ALLUSERSPROFILE%\Application Data\images\srh_1.gif
%ALLUSERSPROFILE%\Application Data\shared.exe
<SYSTEM32>\shared.exe
%ALLUSERSPROFILE%\Application Data\i\gl_2.gif
%ALLUSERSPROFILE%\Application Data\i\gl_1.gif
%ALLUSERSPROFILE%\Application Data\i\gl_4.gif
%ALLUSERSPROFILE%\Application Data\i\gl_3.gif
%TEMP%\bt55367.bat
%TEMP%\uinstall.exe
%ALLUSERSPROFILE%\Application Data\daohang.htm
C:\fsaffffsa.exe
%ALLUSERSPROFILE%\Application Data\i\srh_5.gif
%ALLUSERSPROFILE%\Application Data\i\srh_4.gif
%ALLUSERSPROFILE%\Application Data\i\topbg02.gif
%ALLUSERSPROFILE%\Application Data\i\topbg01.gif
%ALLUSERSPROFILE%\Application Data\i\srh_1.gif
%ALLUSERSPROFILE%\Application Data\i\gl_5.gif
%ALLUSERSPROFILE%\Application Data\i\srh_3.gif
%ALLUSERSPROFILE%\Application Data\i\srh_2.gif

Удаляет следующие файлы:

C:\html\peer_down80.html
C:\html\peer_recomm.html
C:\html\peer_down78.html
C:\html\peer_down79.html
C:\html\peer_se75.html
C:\html\peer_se76.html
C:\html\peer_se73.html
C:\html\peer_se74.html
C:\html\peer_down72.html
C:\html\peer_down73.html
C:\html\peer_down.html
C:\html\peer_down71.html
C:\html\peer_down76.html
C:\html\peer_down77.html
C:\html\peer_down74.html
C:\html\peer_down75.html
C:\config\enumwindow.ini
C:\config\pfplayertemp.ini
C:\html\peer_se85.html
C:\config\config.ini
C:\ffsa.reg
%TEMP%\bt86511.bat
C:\Program\adtask.xml
C:\Program\gui.cfg
C:\html\peer_se79.html
C:\html\peer_se80.html
C:\html\peer_se77.html
C:\html\peer_se78.html
C:\html\peer_se83.html
C:\html\peer_se84.html
C:\html\peer_se81.html
C:\html\peer_se82.html
C:\html\peer_do.html
C:\Downloads\[唐诗鉴赏大辞典](上中下)[exe][电子书](1)(4)(1).rar
C:\Downloads\[电子书][書籍][圖書][武术][气功]睡功心法.rar
C:\Downloads\txt电子书_言情小说_[纳妾记]全集电子书txt.rar
C:\Downloads\txt电子书，全是经典 (1)(3)(1)(3)(2).rar
C:\Downloads\狐孽 - 全文阅读 - 鱼水情言情小说原创文学书库 - 小说_玄幻_武侠_言情_都市_科幻.rar
C:\Downloads\琼瑞妮丝&露丝华思理-金赛性学报(电子书).rar
C:\Downloads\[电子书][書籍][圖書]犹太人为什么优秀.rar
C:\Downloads\报刊英语单词精华(电子书).rar
%TEMP%\bt55367.bat
C:\key.reg
%TEMP%\shared.exe
%TEMP%\key.reg
C:\Downloads\100部经典电子书_法律法规(1).rar
C:\Downloads\6小说-笑话黄谜(1).rar
C:\Downloads\(写真集) - 美處女欲情.rar
C:\Downloads\100部经典电子书_全球通史(1).rar
C:\html\home80.html
C:\html\home81.html
C:\html\home78.html
C:\html\home79.html
C:\html\home84.html
C:\html\home85.html
C:\html\home82.html
C:\html\home83.html
C:\Downloads\采花录(花间曲) 全集完整版txt电子书(1).rar
C:\html\home.html
C:\Downloads\电脑四大核心硬件知识详解chm电子书(1)(4).rar
C:\Downloads\电脑故障维修大全(电子书).rar
C:\html\home76.html
C:\html\home77.html
C:\html\home74.html
C:\html\home75.html

Изменяет файл HOSTS.

Сетевая активность:

Подключается к:

'www.84##3.cn':80
'fg#.#322.org':80
'localhost':1036

TCP:

Запросы HTTP GET:

www.84##3.cn/
fg#.#322.org/bar.html

UDP:

DNS ASK www.84##3.cn
DNS ASK fg#.#322.org

Другое:

Ищет следующие окна:

ClassName: 'ReBarWindow32' WindowName: '(null)'
ClassName: '' WindowName: '(null)'
ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'EDIT' WindowName: '(null)'
ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
ClassName: '(null)' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней