Trojan.Click2.37073

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft RSVP' = '<LS_APPDATA>\Microsoft\rsvp.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Sessmgr' = '<LS_APPDATA>\Microsoft\sessmgr.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MessageService' = '<LS_APPDATA>\Microsoft\Windows\mqtgsvc.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '<LS_APPDATA>\Microsoft\Windows\clipsrv.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'EseNtUtl' = '%WINDIR%\System\esentutl.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lsm service' = '<LS_APPDATA>\lsm.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%ALLUSERSPROFILE%\rsvp.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'EseNtUtl' = '%WINDIR%\esentutl.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'cisvc' = '%WINDIR%\cisvc.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'lsm service' = '%APPDATA%\Microsoft\lsm.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Task Scheduler' = '<LS_APPDATA>\mstinit.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%ALLUSERSPROFILE%\clipsrv.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WinLogon' = '%WINDIR%\winlogon.exe'

Вредоносные функции:

Создает и запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

Удаляет следующие файлы:

Перемещает следующие файлы:

%ALLUSERSPROFILE%\RCXD.tmp в %ALLUSERSPROFILE%\rsvp.exe
<LS_APPDATA>\Microsoft\Windows\RCXE.tmp в <LS_APPDATA>\Microsoft\Windows\mqtgsvc.exe
%WINDIR%\RCXB.tmp в %WINDIR%\winlogon.exe
%ALLUSERSPROFILE%\RCXC.tmp в %ALLUSERSPROFILE%\clipsrv.exe
<LS_APPDATA>\Microsoft\RCXF.tmp в <LS_APPDATA>\Microsoft\sessmgr.exe
%WINDIR%\system\RCX12.tmp в %WINDIR%\system\esentutl.exe
<LS_APPDATA>\Microsoft\Windows\RCX13.tmp в <LS_APPDATA>\Microsoft\Windows\clipsrv.exe
<LS_APPDATA>\Microsoft\RCX10.tmp в <LS_APPDATA>\Microsoft\rsvp.exe
<LS_APPDATA>\RCX11.tmp в <LS_APPDATA>\lsm.exe
%WINDIR%\RCXA.tmp в %WINDIR%\esentutl.exe
%WINDIR%\RCX3.tmp в %WINDIR%\esentutl.exe
%WINDIR%\RCX4.tmp в %WINDIR%\winlogon.exe
%APPDATA%\Microsoft\RCX1.tmp в %APPDATA%\Microsoft\lsm.exe
%WINDIR%\RCX2.tmp в %WINDIR%\cisvc.exe
%ALLUSERSPROFILE%\RCX5.tmp в %ALLUSERSPROFILE%\clipsrv.exe
<LS_APPDATA>\Microsoft\RCX8.tmp в <LS_APPDATA>\Microsoft\dllhst3g.exe
%WINDIR%\RCX9.tmp в %WINDIR%\cisvc.exe
%APPDATA%\Microsoft\RCX6.tmp в %APPDATA%\Microsoft\dllhost.exe
<LS_APPDATA>\RCX7.tmp в <LS_APPDATA>\mstinit.exe