Trojan.Click1.63059

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '36c4da5d9e793e66.exe' = '<LS_APPDATA>\36c4da5d9e793e66.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\5352b7104cef2c98] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\5352b7104cef2c98] 'ImagePath' = '<DRIVERS>\5352b7104cef2c98.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\22bf8] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

<LS_APPDATA>\36c4da5d9e793e66.exe

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtOpenThread, драйвер-обработчик: 5352b7104cef2c98.sys
NtOpenProcess, драйвер-обработчик: 5352b7104cef2c98.sys

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\base.alert[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\DD_belatedPNG[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\base.reset[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[2].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\base.index[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\scripts[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\l_b_bl[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\r_b_bl[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\greencheck_list[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\cr[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\style[2].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\l_t_bl[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\r_t_bl[1].gif
%HOMEPATH%\Start Menu\Programs\Advanced PC Shield 2012\Buy Advanced PC Shield 2012.lnk
%HOMEPATH%\Desktop\Buy Advanced PC Shield 2012.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\index[1].html
%HOMEPATH%\Start Menu\Programs\Advanced PC Shield 2012\Launch Advanced PC Shield 2012.lnk
<LS_APPDATA>\36c4da5d9e793e66.exe
<DRIVERS>\22bf8.sys
<DRIVERS>\5352b7104cef2c98.sys
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\alert_reg[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\base.reg[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\14[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\DD_belatedPNG[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\alert_danger[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\serial[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\13[1].html

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\style[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\DD_belatedPNG[1].js
<DRIVERS>\22bf8.sys
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\base.reset[2].css

Самоперемещается: