Trojan.Click1.46359

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Kingsoft Antivirus WebShield Service] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

"%TEMP%\guaguadance.exe" (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\╠╘▒ж╣║╬я.url" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\╘┌╧▀╨б╦╡.url" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\╘┌╧▀╡ч╙░.url" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\╨╘╕╨├└┼о.url" /p everyone:f
<SYSTEM32>\attrib.exe "%ALLUSERSPROFILE%\Application Data\Kingsoft\kws\kws.ini" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\Desktop\╘┌╧▀╡ч╙░.url" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\Desktop\╨╘╕╨├└┼о.url" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\Desktop\╘┌╧▀┬■╗н.url" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\Desktop\├└┼о╩╙╞╡.url" +R +S
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\├└┼о╩╙╞╡.url" /p everyone:f
<SYSTEM32>\expand.exe ""%TEMP%\url.cab"" -F:*.* "%HOMEPATH%\Favorites
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.v9##.com/?uk###
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.66##.net/?uk####
<SYSTEM32>\expand.exe ""%TEMP%\url.cab"" -F:*.* "%HOMEPATH%\Desktop
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.77##h.com/?kj###
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Application Data\Kingsoft\kws\kws.ini" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\╘┌╧▀┬■╗н.url" /p everyone:f
<SYSTEM32>\cmd.exe /c "%TEMP%\lnk.bat"
<SYSTEM32>\ping.exe -n 5 127.0.0.1

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Desktop\ФЪПЯВю».url
%PROGRAM_FILES%\kingsoft\KWSSVC.log
%HOMEPATH%\Favorites\ГАЕ®КУЖµБДМм.url
%HOMEPATH%\Favorites\ГАЕ®КУЖµ.url
%HOMEPATH%\Desktop\ФЪПЯµзУ°.url
%HOMEPATH%\Desktop\ГАЕ®КУЖµБДМм.url
%HOMEPATH%\Desktop\ГАЕ®КУЖµ.url
%HOMEPATH%\Desktop\РФёРГАЕ®.url
%HOMEPATH%\Desktop\МФ±¦№єОп.url
%HOMEPATH%\Favorites\МФ±¦№єОп.url
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\v921[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\6626[1]
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\wpad[1].dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\779dh[1]
%ALLUSERSPROFILE%\Application Data\kingsoft\kws\urlcache.dat
%HOMEPATH%\Favorites\ФЪПЯµзУ°.url
%HOMEPATH%\Favorites\РФёРГАЕ®.url
%ALLUSERSPROFILE%\Application Data\kingsoft\kws\kws.ini
%HOMEPATH%\Favorites\ФЪПЯВю».url
%ALLUSERSPROFILE%\Start Menu\360sdo.lnk
%PROGRAM_FILES%\ico\Video.ico
%PROGRAM_FILES%\ico\Taobao.ico
<SYSTEM32>\safe.ico
%PROGRAM_FILES%\ico\liaotian.ico
%PROGRAM_FILES%\ico\meiv.ico
%TEMP%\lnk.bat
%APPDATA%\360se\360se_s.ini
%PROGRAM_FILES%\ico\Film.ico
%PROGRAM_FILES%\ico\Beauty.ico
%TEMP%\url.cab
%TEMP%\guaguadance.exe
%ALLUSERSPROFILE%\Start Menu\ЅрЙЅНш¶Ь.lnk
%ALLUSERSPROFILE%\Start Menu\360safe.lnk
%ALLUSERSPROFILE%\Start Menu\KSWebShield.lnk
%PROGRAM_FILES%\kingsoft\kwsui.dll
%PROGRAM_FILES%\kingsoft\KSWebShield.exe
%ALLUSERSPROFILE%\Desktopkws\kws.ini
%PROGRAM_FILES%\kingsoft\kwssp.dll
%PROGRAM_FILES%\kingsoft\KSWebShield.dll

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\Application Data\kingsoft\kws\kws.ini

Удаляет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\360safe.lnk
%ALLUSERSPROFILE%\Start Menu\360sdo.lnk
%ALLUSERSPROFILE%\Start Menu\ЅрЙЅНш¶Ь.lnk
%ALLUSERSPROFILE%\Start Menu\KSWebShield.lnk

Сетевая активность:

Подключается к:

'if#.#uba.net':80
'www.v9##.com':80
'localhost':1045
'wpad.localdomain':80
'www.77##h.com':80
'localhost':1042
'c.###gua.com.cn':80
'ip.##inaz.com':80
'localhost':1039
'ap#.#c120.com':80
'www.66##.net':80

TCP:

Запросы HTTP GET:

if#.#uba.net/urlrcv.php?mc##########################################################
www.v9##.com/?uk###
wpad.localdomain/wpad.dat
www.77##h.com/?kj###
c.###gua.com.cn/c/guaguadance_6060000010
ip.##inaz.com/
ap#.#c120.com/false_host/
www.66##.net/?uk####

UDP: