Trojan.Click3.3485

Вредоносные функции:

Создает и запускает на исполнение:

'<LS_APPDATA>\Loader\svchost.exe' http://u.##ie.cn/corp/download/bluesoft_gho_bsufxj_inst.exe
'<LS_APPDATA>\Loader\svchost.exe' http://dl.####n.ijinshan.com/liebao/link/ksbinstaller_s_66_51717.exe
'<LS_APPDATA>\Loader\svchost.exe' http://s1.##min6.com/pptv/PPTV(pplive)_fora5_104626.exe
'<LS_APPDATA>\Loader\svchost.exe' http://d.#####.ijinshan.com/duba/link/KAVSETUPS_66_22041.exe
'<LS_APPDATA>\Loader\svchost.exe' http://f.##t8.com/1377905189/verify.exe
'<LS_APPDATA>\Loader\svchost.exe' http://f.##t8.com/1377905189/SafeUp.exe
'<LS_APPDATA>\Loader\svchost.exe' http://ur######a.f3322.org:61669/GGSafe/verify.exe
'<LS_APPDATA>\Loader\svchost.exe' http://ur######a.f3322.org:61669/GGSafe/GGSafeUP.exe

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' "<LS_APPDATA>\liebao\User Data\Default\Preferences" +r +h
'<SYSTEM32>\find.exe' /i "insinsatll"
'%WINDIR%\regedit.exe' /s ie.reg
'<SYSTEM32>\wscript.exe' "%TEMP%\msg.vbs"
'<SYSTEM32>\regini.exe' temp.ini
'<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders"
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.10##7.cn/?uu###
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://t.#n/z8qHbBE
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://t.#n/z8qHof9
'<SYSTEM32>\ping.exe' -n 2 127.1
'<SYSTEM32>\cmd.exe' /c ""<LS_APPDATA>\Loader\svchost.bat" "

Внедряет код в

следующие системные процессы:

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Desktop\2345НшЦ·µјєЅ.lnk
%HOMEPATH%\Desktop\№єОпЙМіЗґуИ«.lnk
%HOMEPATH%\Desktop\hao123µјєЅ.lnk
%HOMEPATH%\Desktop\У°КУґуИ«.lnk
%HOMEPATH%\Desktop\10567НшЦ·µјєЅ.lnk
<LS_APPDATA>\urldh\lazije.html
<LS_APPDATA>\urldh\jinshan.html
<LS_APPDATA>\urldh\yaowa.html
<LS_APPDATA>\urldh\wzdhwz.html
%HOMEPATH%\Desktop\ЅрЙЅ°ІИ«НшЦ·µјєЅ.lnk
<LS_APPDATA>\Loader\ie.reg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\z8qHof9[1]
%TEMP%\msg.vbs
<LS_APPDATA>\Loader\temp.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\z8qHbBE[1]
%HOMEPATH%\Desktop\НшЧ¬µјєЅНш.lnk
%HOMEPATH%\Desktop\№єОп·µАы.lnk
%HOMEPATH%\Desktop\ЅсИХМШВф.lnk
%HOMEPATH%\Desktop\ТЄНЫµјєЅНш.lnk
<LS_APPDATA>\Loader\GGSafe_uuzywsa(52).exe
<LS_APPDATA>\Loader\BindDLL.dll
<LS_APPDATA>\Loader\PPBindDAC.dll
<LS_APPDATA>\Loader\InetLoad.dll
<LS_APPDATA>\Loader\AsynDownload.dll
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp
<LS_APPDATA>\liebao\User Data\Default\Preferences
<LS_APPDATA>\liebao\User Data\Default\Bookmarks
<LS_APPDATA>\Loader\PPInstallLog.dll
<LS_APPDATA>\urldh\fanli.html
<LS_APPDATA>\urldh\2345_kuujsw_movie.exe
<LS_APPDATA>\urldh\icon.dll
<LS_APPDATA>\urldh\hao123.html
<LS_APPDATA>\urldh\2345.html
<LS_APPDATA>\Loader\svchost.exe
<LS_APPDATA>\Loader\svchost.bat
<LS_APPDATA>\urldh\1588.html
<LS_APPDATA>\urldh\10567.html