Trojan.Click1.61267

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\ТжГЛІЩЕМКЦ.lnk

Вредоносные функции:

Создает и запускает на исполнение:

"%TEMP%\pipi_setup_535.exe" (загружен из сети Интернет)

Запускает на исполнение:

%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\pipi_online[1].exe
%HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\ТжГЛІЩЕМКЦ.lnk
%HOMEPATH%\Desktop\ТжГЛІЩЕМКЦ.lnk
%PROGRAM_FILES%\ymLevel2_Taste\UNWISE.INI
%HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\Р¶ФШТжГЛІЩЕМКЦ.lnk
%TEMP%\pipi_setup_535.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\pipi_online[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\pipi_online[2].exe
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\run[1].shtml
%TEMP%\nse7.tmp\xml.dll
%PROGRAM_FILES%\ymLevel2_Taste\INSTALL.LOG
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\rt[1].shtml
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ad3[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\index[1].html
%PROGRAM_FILES%\ymLevel2_Taste\UpVer.dat
%ALLUSERSPROFILE%\Application Data\~smtemp\~temp
%PROGRAM_FILES%\ymLevel2_Taste\Hrif.dat
%ALLUSERSPROFILE%\Application Data\~smtemp\config.xml
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\downloader[1].shtml
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%TEMP%\GLC3.tmp
%TEMP%\GLB2.tmp
%TEMP%\GLJ4.tmp
%TEMP%\nse7.tmp\System.dll
%ALLUSERSPROFILE%\Application Data\~smtemp\HTTPDownloadFile.dll
%TEMP%\AVGDownloader_25.exe
%TEMP%\pipi_ins_535.exe
%TEMP%\seemaos_d_BE9C.exe
%TEMP%\wokao.doc
%TEMP%\wl0910198.exe
%TEMP%\GLK5.tmp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\temp.000
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%TEMP%\GLG9.tmp
%TEMP%\nse7.tmp\inetc.dll
%TEMP%\~GLH0000.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP

Удаляет следующие файлы:

%TEMP%\GLJ4.tmp
%TEMP%\GLFA.tmp
%TEMP%\GLK5.tmp
%ALLUSERSPROFILE%\Application Data\~smtemp\~temp
%TEMP%\GLG9.tmp
%TEMP%\nse7.tmp\xml.dll
%TEMP%\GLB2.tmp
%TEMP%\nse7.tmp\System.dll
%TEMP%\GLC3.tmp
%TEMP%\nse7.tmp\inetc.dll
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\pipi_online[1].exe
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%TEMP%\pipi_setup_535.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\pipi_online[1].exe
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\pipi_online[2].exe
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP

Сетевая активность:

Подключается к:

'localhost':1047
'ap#.#eemao.com':80
'www.em##ey.cn':80
'localhost':1048
'dl.#ipi.cn':80
'www.av#.com':80
'lo#.#eemao.com':80
'do#####d.avgsafe.com':8080

TCP:

Запросы HTTP GET:

lo#.#eemao.com/downloader/rt.shtml?pf#####################################################
www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############
www.em##ey.cn/dianjin/ym/rj/ad3.html?si###############
ap#.#eemao.com/downloader/downloader.shtml?pf################################################
www.av#.com/cn-zh/download-file-x86-afh
dl.#ipi.cn/pipi_online.exe
lo#.#eemao.com/downloader/run.shtml?pf################################################

UDP: