Trojan.Click3.10604

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\ТжГЛІЩЕМКЦ.lnk

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\mstdiexc] 'Start' = '00000000'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\90c2\pptv.exe'
'%TEMP%\GLJ6.tmp' %PROGRAM_FILES%\ymLevel2_Taste\DownLoad.dll
'%TEMP%\90c2\b_h1001990.exe'
'%TEMP%\GLJ6.tmp' %PROGRAM_FILES%\ymLevel2_Taste\MFC71.dll
'%TEMP%\is-6MKHI.tmp\b_h1001990.tmp' /SL5="$50136,1627212,66048,%TEMP%\90c2\b_h1001990.exe"
'%TEMP%\GLJ6.tmp' %PROGRAM_FILES%\ymLevel2_Taste\Coder2.dll
'%TEMP%\90c2\winRun.exe'
'<SYSTEM32>\gins.exe' /p-90911/s-9782/leoaedo
'%TEMP%\90c2\LavaGame_2.2_2051.exe'
'%TEMP%\GLB4.tmp' 4736 %TEMP%\90c2\WL0421~1.EXE
'%TEMP%\90c2\wl0421290.EXE'

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\SoXun\SoxunToolbar.dll"
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\taskkill.exe' /F /im SXPlayer.exe
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.qq##.info/cjtest/conf.jsp?v=#######################################
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnZoneCrossing' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\KB9b8729.log
%WINDIR%\msvstat.dat
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\ТжГЛІЩЕМКЦ.lnk
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP
<DRIVERS>\mstdiexc.sys
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\temp.000
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%TEMP%\is-5D69D.tmp\_isetup\_shfoldr.dll
%TEMP%\is-5D69D.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-6MKHI.tmp\b_h1001990.tmp
%CommonProgramFiles%\DianJi\LavaNet DNA\lava.ini
%TEMP%\nss3.tmp\ExtractDLLEx.dll
%TEMP%\is-5D69D.tmp\Getur.dll
%PROGRAM_FILES%\ymLevel2_Taste\UNWISE.INI
%HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\Р¶ФШТжГЛІЩЕМКЦ.lnk
%HOMEPATH%\Desktop\ТжГЛІЩЕМКЦ.lnk
%TEMP%\90c2\pptv.exe
%TEMP%\90c2\b_h1001990.exe
%TEMP%\nss3.tmp\lavagame.dsi
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%TEMP%\nss3.tmp\System.dll
%TEMP%\djruncon.log
%TEMP%\nss3.tmp\djcomm.dll
%TEMP%\GLB4.tmp
%TEMP%\nss3.tmp\ad.bmp
%TEMP%\djhist.log
%TEMP%\90c2\wl0421290.EXE
%TEMP%\90c2\stpcfgf.pdf
<SYSTEM32>\gins.exe
%TEMP%\nsx2.tmp
%TEMP%\90c2\winRun.exe
%TEMP%\90c2\LavaGame_2.2_2051.exe
%TEMP%\nss3.tmp\dnaSetup.dsi
%TEMP%\GLK7.tmp
%TEMP%\GLJ6.tmp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP
%TEMP%\~GLH0000.TMP
%TEMP%\GLG9.tmp
%TEMP%\nss3.tmp\licenseDNA.rtf
%TEMP%\nss3.tmp\io3.ini
%TEMP%\nss3.tmp\left.bmp
%TEMP%\nss3.tmp\NSISdl.dll
%TEMP%\GLC5.tmp
%TEMP%\nss3.tmp\license.rtf

Удаляет следующие файлы:

%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\conf[1].jsp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP

Перемещает следующие файлы:

%PROGRAM_FILES%\ymLevel2_Taste\~GLH0003.TMP в %PROGRAM_FILES%\ymLevel2_Taste\Coder2.dll
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP в %PROGRAM_FILES%\ymLevel2_Taste\L2Host.dat
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP в %PROGRAM_FILES%\ymLevel2_Taste\offLogo.mht
%TEMP%\~GLH0000.TMP в %TEMP%\GLFA.tmp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP в %PROGRAM_FILES%\ymLevel2_Taste\UNWISE.EXE
%PROGRAM_FILES%\ymLevel2_Taste\temp.000 в %PROGRAM_FILES%\ymLevel2_Taste\~GLH0003.TMP

Сетевая активность:

Подключается к: