Trojan.Click2.53268

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\qcfile\shell\open\command] '' = 'WScript.exe "%PROGRAM_FILES%\NetMeeting\360safe.knl" "%1"'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\winsoft6\ie2.exe
%PROGRAM_FILES%\winsoft6\test.exe

Запускает на исполнение:

<SYSTEM32>\reg.exe del "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v
%WINDIR%\regedit.exe /S %WINDIR%\RegText.reg
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.22##h.com/?ne#
<SYSTEM32>\reg.exe add "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "%PROGRAM_FILES%\Internet Explorer\iexplore.exe http://www.29##h.com/?zq### /f
<SYSTEM32>\cmd.exe /c ""%PROGRAM_FILES%\winsoft6\3.bat" "
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\winsoft6\3.vbs"
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\winsoft6\2222.vbs"
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\NetMeeting\360safe.knl"
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\winsoft6\1.vbs"

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Favorites\ИЛМеѕшЙ«ТХКхХѕ.-Ч·ЗуЧоГАµДИЛМеј«Ж·ЙгУ°РґХж!!.url
%HOMEPATH%\Favorites\ЧоРВФЪПЯРЎЛµГв·СФД¶БХѕЈЎ·бё»ДЪИЭЛЩ¶ИїмµДРЎЛµХѕ!!!.url
%HOMEPATH%\Favorites\45575.comФЪПЯРЎУОП·ЈЎЈ¬ЧоєГНжµДЧоРВЧоїмі¬ј¶РЎУОП·!!!.url
%HOMEPATH%\Favorites\МФ±¦Нш - МФЈЎОТПІ»¶.url
%HOMEPATH%\Favorites\ЧоРВѕ«Ж·ВМЙ«єГµзУ°Гв·СЈЎ.ёЯЗеёЯЛЩЈЎМмМмёьРВ!!!.url
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╕▀╟х╬·┐ь╦┘╨┬╡ч╙░.url
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╝л╞╖╨б╙╬╧╖╘┌╧▀.url
%HOMEPATH%\Favorites\ЖЇББГАИЛНјґуєПјЇ!!!Зеґїј«Ж·ГАГДі¬ј¶РґХжЈЎЈЎ.url
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╠╘▒ж═°┤Є╒█╟°.url
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\LAUNCH INTERNET EXPLORER BROWSER.qc
%ALLUSERSPROFILE%\Desktop\Internet Explorer.qc
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\220dh[1]
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\WINDOWS MEDIA PLAYER.qc
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kusila[1]
%HOMEPATH%\Favorites\ЧїФЅСЗВнС·НшЙП№єОпНјКйЈ¬КЦ»ъЈ¬КэВлЈ¬јТµзЈ¬»ЇЧ±Ж·Ј¬ЦУ±нЈ¬КЧКОµИФЪПЯПъКЫ.url
%HOMEPATH%\Favorites\µ±µ±НшЎЄНшЙП№єОпЦРРДЈєНјКйЎўДёУ¤ЎўГАЧ±ЎўјТѕУЎўКэВлЎўјТµзЎў·юЧ°ЎўР¬°ьµИЈ¬ХэЖ·µНјЫЈ¬»хµЅё¶їо.url
%CommonProgramFiles%\winie6.html
%HOMEPATH%\Favorites\їґїґБ¬РшѕзФЪПЯЈ¬ЧоєГВМЙ«µДЧоРВёЯЛЩГв·СµзКУѕзНшХѕ!!!.url
%HOMEPATH%\Favorites\ёЯЛЩј«Ж·ј«ЛЩНшВзµзКУ.lnk
%PROGRAM_FILES%\winsoft6\mm.ico
%PROGRAM_FILES%\winsoft6\kusila.ico
%PROGRAM_FILES%\winsoft6\taobao.ico
%PROGRAM_FILES%\winsoft6\qq.ico
%PROGRAM_FILES%\winsoft6\game.ico
%PROGRAM_FILES%\winsoft6\3.vbs
%PROGRAM_FILES%\winsoft6\3.bat
%PROGRAM_FILES%\winsoft6\77zb.ico
%PROGRAM_FILES%\winsoft6\9ptv.ico
%WINDIR%\RegText.reg
%PROGRAM_FILES%\NetMeeting\tao.ico
%HOMEPATH%\Favorites\ёЯЛЩЦ±ІҐ77zbФЪПЯМеУэ.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Intenert Expleror.url
%PROGRAM_FILES%\NetMeeting\360safe.knl
%PROGRAM_FILES%\winsoft6\ie2.exe
%PROGRAM_FILES%\winsoft6\2222.vbs
%PROGRAM_FILES%\winsoft6\test.exe
%PROGRAM_FILES%\winsoft6\1.vbs