Trojan.Click1.46371

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'fsahdsf' = '"<Имя диска съемного носителя>:\zations\tmp.\a.{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}" hh.exe'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\zations\╚э╝■╧┬╘╪.url
<Имя диска съемного носителя>:\zations\╠╘▒ж═°-╠╘╬╥╧▓╗╢.url
<Имя диска съемного носителя>:\zations\9477-╨б╙╬╧╖.url
<Имя диска съемного носителя>:\zations\2.inf
<Имя диска съемного носителя>:\zations\3.bat
<Имя диска съемного носителя>:\zations\1.inf
<Имя диска съемного носителя>:\zations\═°╓╖╡╝║╜┤є╚л.url
<Имя диска съемного носителя>:\3743140237.exe
<Имя диска съемного носителя>:\zations\2.bat
<Имя диска съемного носителя>:\zations\1.bat
<Имя диска съемного носителя>:\zations\4399-╨б╙╬╧╖.url
<Имя диска съемного носителя>:\zations\4399╨б╙╬╧╖.url
<Имя диска съемного носителя>:\zations\7K7K-╨б╙╬╧╖.url

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\43021437\caihong.exe (загружен из сети Интернет) /VERYSILENT /SP- /NORESTART
<Имя диска съемного носителя>:\3743140237.exe /i "%PROGRAM_FILES%\43021437\3743.txt" /quiet

Запускает на исполнение:

<SYSTEM32>\find.exe /i "360tray.exe" tasklist.txt
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\tasklist.exe
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.ws##w.com/?bb" /f
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.ws##w.com/?bb" /f
<SYSTEM32>\reg.exe add "HKCR\htafile\DefaultIcon" /v "" /d "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE" /f
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /d "1" /f
<SYSTEM32>\reg.exe add "HKCR\htafile" /v "NeverShowExt" /d "" /f
<SYSTEM32>\rundll32.exe syssetup,SetupInfObjectInstallAction DefaultInstall 128 <Имя диска съемного носителя>:\zations\2.inf
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://cn##.sjt8.com/info.access/?st#####
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.nz##8.net/index2.html
<SYSTEM32>\msiexec.exe -Embedding F1A8581CB63C1827B7D0DC5151247638
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\mshta.exe vbscript:createobject("wscript.shell").run("""iexplore""http://cn##.sjt8.com/info.access/?st#####",0)(window.close)
<SYSTEM32>\attrib.exe +s +h <Имя диска съемного носителя>:\zations\tmp\a.{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}
<SYSTEM32>\attrib.exe +s +h <Имя диска съемного носителя>:\zations\tmp
<SYSTEM32>\reg.exe add "HKCR\CLSID\{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}\Shell\open(&H)\Command" /v "" /d "wscript -e:vbs ""<Имя диска съемного носителя>:\zations\3.bat""" /f
<SYSTEM32>\rundll32.exe syssetup,SetupInfObjectInstallAction DefaultInstall 128 <Имя диска съемного носителя>:\zations\1.inf
<SYSTEM32>\reg.exe add "HKCR\CLSID\{D71C5380-D2A0-CD69-E3EE-E1002B3A309E}" /v "IsShortCut" /d "" /f

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Installer\MSI6.tmp
C:\Config.Msi\1b2f2.rbs
%PROGRAM_FILES%\43021437\caihong.exe
%TEMP%\nsw2.tmp\NSISdl.dll
%WINDIR%\Installer\1b2ef.msi
%WINDIR%\Installer\MSI4.tmp
%WINDIR%\Installer\MSI5.tmp
<SYSTEM32>\find.txt
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internat Explorer.hta
%PROGRAM_FILES%\43021437\kugou_2355.exe
<SYSTEM32>\tasklist.txt
%TEMP%\MSI1d77f.LOG
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\info[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\index2[1].html
%TEMP%\nsw2.tmp\ns3.tmp
%PROGRAM_FILES%\43021437\3743.txt
%PROGRAM_FILES%\date4337\IeUpdate.exe
%PROGRAM_FILES%\date4337\IeUpdate.ini
%PROGRAM_FILES%\43021437\bat.txt
%TEMP%\nsw2.tmp\System.dll
%PROGRAM_FILES%\43021437\abcd.exe
%PROGRAM_FILES%\43021437\360P2SP.wma
%HOMEPATH%\Desktop\КАЅзЦ®ґ° дЇААЖч.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\КАЅзЦ®ґ° дЇААЖч.lnk
%TEMP%\nsw2.tmp\nsExec.dll
%PROGRAM_FILES%\date4337\date4337.ini
%PROGRAM_FILES%\date4337\oem.ini
%PROGRAM_FILES%\date4337\dailytips.ini
%PROGRAM_FILES%\date4337\date4337.exe