Trojan.StartPage.37793

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MyClearSearch Helper Service] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\MyClearSearch\MyClearSearchSvc.exe -r -i
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2526.exe /SP- /suppressmsgboxes /verysilent /noicons /norestart
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2529.exe /SP- /suppressmsgboxes /verysilent /noicons /norestart
"%TEMP%\yewknsil.exe" (загружен из сети Интернет)
"%TEMP%\enlk.exe" (загружен из сети Интернет)
"%TEMP%\wrnriq.exe" (загружен из сети Интернет)
"%TEMP%\ewihapau.exe" (загружен из сети Интернет)
"%TEMP%\poqspg.exe" (загружен из сети Интернет)
"%TEMP%\kobf.exe" (загружен из сети Интернет)
"%TEMP%\rvct.exe" (загружен из сети Интернет)
"%TEMP%\bpox.exe" (загружен из сети Интернет)
"%TEMP%\750234914" (загружен из сети Интернет)
"%TEMP%\yutayi.exe" (загружен из сети Интернет)
"%TEMP%\dghe.exe" (загружен из сети Интернет)
"%TEMP%\sjcwvi.exe" (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\svchost.exe

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nse5.tmp\System.dll
%PROGRAM_FILES%\MyClearSearch\uninstall.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\luuttthy[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\tgttkyyplp[1].php
%TEMP%\yewknsil.exe
%PROGRAM_FILES%\MyClearSearch\ShowMsg.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\fppctgu[1].php
%TEMP%\kobf.exe
%TEMP%\enlk.exe
%PROGRAM_FILES%\MyClearSearch\MyClearSearchSvc.exe
%TEMP%\nse4.tmp
%TEMP%\poqspg.exe
%TEMP%\wrnriq.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\opppgguull[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\sssgtkxxyb[1].php
%TEMP%\out.html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\post[1].htm
%TEMP%\ewihapau.exe
%APPDATA%\Mozilla\Firefox\Profiles\przhlnon.default\user.js
%TEMP%\stb6.tmp\setup.exe
%TEMP%\nss7.tmp\System.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\mvmnn[1].php
%TEMP%\nss7.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\kkxyoccp[1].php
C:\Program\Inet2\inet.dll
%TEMP%\bpox.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\qzmnre[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\dqqervivmn[1].php
%TEMP%\rvct.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ffffjjx[1].php
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2526.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2529.exe
%TEMP%\inet.exe
%TEMP%\750234914
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\rbfsfsg[1].php
%TEMP%\sjcwvi.exe
C:\Program\Inet2\inet.exe
%TEMP%\yutayi.exe
C:\Program\Inet2\settings.cfg
%TEMP%\myclearsearch-setup.exe
%TEMP%\brand.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\wsttxkky[1].php
C:\Program\Inet2\inetUpServ.exe
C:\Program\Inet2\Interop.SHDocVw.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\cvwzn[1].php
C:\Program\Inet2\settings.cfg_
%TEMP%\dghe.exe

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2526.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2529.exe

Удаляет следующие файлы:

%TEMP%\nss7.tmp\inetc.dll
%TEMP%\nss7.tmp\System.dll
<SYSTEM32>\svchost.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2529.exe
%TEMP%\stb6.tmp\setup.exe
%TEMP%\nse5.tmp\System.dll

Сетевая активность:

Подключается к:

'up#####.browserseek.com':80
'i.###rack.com':80
'aa###nge.com':80
'www.qu##ia.com':80

TCP:

Запросы HTTP GET:

aa###nge.com/zmjnnaers/fppctgu.php?ad################################
aa###nge.com/zmjnnaers/luuttthy.php?ad################################
www.qu##ia.com/installer/inet.exe
aa###nge.com/zmjnnaers/kkxyoccp.php?ad################################
aa###nge.com/zmjnnaers/tgttkyyplp.php?ad################################
aa###nge.com/zmjnnaers/opppgguull.php?ad################################
aa###nge.com/zmjnnaers/sssgtkxxyb.php?ad##############################################################
up#####.browserseek.com/install.aspx?b=###########
aa###nge.com/zmjnnaers/mvmnn.php?ad################################
aa###nge.com/zmjnnaers/wsttxkky.php?ad################################
www.qu##ia.com/installer/inet.dll
aa###nge.com/zmjnnaers/qzmnre.php?ad################################
aa###nge.com/zmjnnaers/rbfsfsg.php?ad################################
aa###nge.com/zmjnnaers/ffffjjx.php?ad################################
aa###nge.com/zmjnnaers/dqqervivmn.php?ad################################
aa###nge.com/zmjnnaers/cvwzn.php?ad################################
www.qu##ia.com/installer/settings.cfg
www.qu##ia.com/installer/Interop.SHDocVw.dll
www.qu##ia.com/installer/inetUpServ.exe

Запросы HTTP POST:

i.###rack.com/post.php
up#####.browserseek.com/?vn#############################################################################################################################################################################################################################

UDP: