Trojan.StartPage.52325

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\SearchPage\Updater\SearchPageService.exe /Service
%TEMP%\nsv3.tmp\ns8.tmp "net stop SearchPageService"
%PROGRAM_FILES%\SearchPage\Updater\SearchPageService.exe
%TEMP%\nsv3.tmp\ns9.tmp net start SearchPageUpdate
%TEMP%\nsv3.tmp\ns5.tmp <SYSTEM32>\cscript //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_prov:SearchPage "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
%TEMP%\nsv3.tmp\ns4.tmp <SYSTEM32>\cscript //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_homepage:http://www.se###hpage.com/?f=############ "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
%TEMP%\nsv3.tmp\ns7.tmp <SYSTEM32>\cscript //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_new_tab:http://www.se###hpage.com/?f=############ "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
%TEMP%\nsv3.tmp\ns6.tmp <SYSTEM32>\cscript //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_addr_bar:http://www.se###hpage.com/?f=###################### "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"

Запускает на исполнение:

<SYSTEM32>\cscript.exe //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_new_tab:http://www.se###hpage.com/?f=############ "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
<SYSTEM32>\taskkill.exe /IM SearchPageService.exe /F
<SYSTEM32>\net1.exe start SearchPageUpdate
<SYSTEM32>\cscript.exe //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_homepage:http://www.se###hpage.com/?f=############ "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
<SYSTEM32>\cscript.exe //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_prov:SearchPage "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
<SYSTEM32>\cscript.exe //Nologo //E:jscript "<LS_APPDATA>\SearchPage\ff_set_opt.js" /set_addr_bar:http://www.se###hpage.com/?f=###################### "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsv3.tmp\ns8.tmp
%PROGRAM_FILES%\SearchPage\Updater\SearchPageService.exe
%TEMP%\nsv3.tmp\ns9.tmp
%TEMP%\nsv3.tmp\ns5.tmp
%TEMP%\nsv3.tmp\ns6.tmp
%TEMP%\nsv3.tmp\ns7.tmp
%PROGRAM_FILES%\SearchPage\Updater\0
<Текущая директория>\install-searchpage.log
%TEMP%\nsv3.tmp\nsisos.dll
<LS_APPDATA>\SearchPage\Uninstall.exe
%TEMP%\nsv3.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\firstrun[1].php
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\searchplugins\searchpage.xml
%TEMP%\nsv3.tmp\IpConfig.dll
%TEMP%\nsv3.tmp\DcryptDll.dll
<LS_APPDATA>\SearchPage\searchPage.ico
%TEMP%\nsp2.tmp
<LS_APPDATA>\SearchPage\install.log
%TEMP%\nsv3.tmp\System.dll
%TEMP%\nsv3.tmp\ns4.tmp
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\newPrefs.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\homepageBak.txt
<LS_APPDATA>\SearchPage\DnsPageIE.dll
<LS_APPDATA>\SearchPage\ff_set_opt.js
%TEMP%\nsv3.tmp\nsExec.dll

Удаляет следующие файлы:

Перемещает следующие файлы:

%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\newPrefs.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

www.se###hpage.com/firstrun.php?ai#######################################################
www.se###hpage.com/update/service/searchpage_update.exe?os#######################################################################################

UDP: