Trojan.StartPage.59032

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\HashCheck\shell\open\command] '' = 'rundll32.exe "<SYSTEM32>\HashCheck.dll",HashVerify_RunDLL %1'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Создает или изменяет следующие файлы:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\HashCheck.dll
'<SYSTEM32>\gpupdate.exe' /force
'%WINDIR%\regedit.exe' /s %TEMP%\Update.reg
'<SYSTEM32>\sc.exe' query winmgmt
'%WINDIR%\regedit.exe' /s %TEMP%\Immune.reg
'<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\Refreshicon.inf
'<SYSTEM32>\wscript.exe' "C:\桌面自动排列.vbs"
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v UserPreferencesMask /t REG_BINARY /d b0120380 /f
'<SYSTEM32>\grpconv.exe' -o

Принудительно разрешает автозапуск со съемных носителей.

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\dialupass.exe
%TEMP%\aut9.tmp
%TEMP%\autA.tmp
%TEMP%\lan.txt
%TEMP%\aut7.tmp
%WINDIR%\protect.exe
%TEMP%\IPADSLSet.exe
%TEMP%\aut8.tmp
%ALLUSERSPROFILE%\Desktop\宽带连接.lnk
%TEMP%\autC.tmp
%TEMP%\snetcfg.exe
%TEMP%\autD.tmp
%TEMP%\autB.tmp
%TEMP%\close.ico
%ALLUSERSPROFILE%\Application Data\Microsoft\Network\Connections\Pbk\rasphone.pbk
%TEMP%\rasphone.pbk
%TEMP%\aut6.tmp
<SYSTEM32>\HashCheck.dll
%TEMP%\aut2.tmp
%TEMP%\Update.reg
%TEMP%\aut3.tmp
C:\桌面自动排列.vbs
%TEMP%\aut1.tmp
<SYSTEM32>\ShowDisktop.SCF
%TEMP%\Refreshicon.inf
%TEMP%\aut5.tmp
<SYSTEM32>\config\systemprofile\SendTo\桌面快捷方式.DeskLink
%WINDIR%\GetShortDir.exe
C:\GetShortDir.exe
%TEMP%\Immune.reg
%TEMP%\aut4.tmp
C:\Documents and Settings\Default User\SendTo\桌面快捷方式.DeskLink
%HOMEPATH%\SendTo\桌面快捷方式.DeskLink