Trojan.StartPage.41065

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'fiqany' = '%PROGRAM_FILES%\qsl\ybylempuoc.exe'
[<HKLM>\SOFTWARE\Classes\icwfile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\omfile\shell\open\command] '' = 'explorer /n,"%PROGRAM_FILES%\%H"'
[<HKLM>\SOFTWARE\Classes\odfile\shell\open\command] '' = 'explorer /n,"%PROGRAM_FILES%\T%H"'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Создает и запускает на исполнение:

%TEMP%\nsu4.tmp\nsE.tmp "<SYSTEM32>\cscript.exe" "%PROGRAM_FILES%\EditPlus\kk17.icw"
%HOMEPATH%\Templates\installstat.exe
%HOMEPATH%\Templates\zxc0316.exe
%TEMP%\nsu4.tmp\ns5.tmp c:\0317.bat

Запускает на исполнение:

%WINDIR%\regedit.exe /s %TEMP%\test1.reg
<SYSTEM32>\regedt32.exe /s %TEMP%\test1.reg
<SYSTEM32>\msiexec.exe -Embedding A3DBA80E91D4F557F4D722A73CDCA1E1
<SYSTEM32>\cmd.exe /c ""%HOMEPATH%\Templates\a.bat" "
<SYSTEM32>\wscript.exe "%HOMEPATH%\Templates\kk17.icw"
<SYSTEM32>\cscript.exe "%PROGRAM_FILES%\EditPlus\kk17.icw"
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\wbem\wmic.exe userAccount where "Name='%USERNAME%'" get SID /value
<SYSTEM32>\ntvdm.exe -f -i1
<SYSTEM32>\cmd.exe /c c:\0317.bat
<SYSTEM32>\msiexec.exe /fauv "%HOMEPATH%\Templates\031717\03171.msj"
%WINDIR%\regedit.exe /s "%WINDIR%\Installer\0317.reg"
<SYSTEM32>\reg.exe add HKCU\Software\sid\ /v Sid /d S-1-5-21-2052111302-484763869-725345543-1003 /f

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\test1.reg
%PROGRAM_FILES%\TTPlayer\home\start.vbs
%PROGRAM_FILES%\0\Desktop.ini
%PROGRAM_FILES%\0\target.lnk
%PROGRAM_FILES%\TTPlayer\home\bd.exe
%WINDIR%\Installer\2d94f.msi
C:\Config.Msi\2d952.rbs
%WINDIR%\Installer\MSIB.tmp
%HOMEPATH%\Templates\installstat.exe
%PROGRAM_FILES%\EditPlus\kk17.icw
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buy.3525[1]
%HOMEPATH%\Templates\statistics.dll
%HOMEPATH%\Templates\kk17.icw
%PROGRAM_FILES%\T0\target.lnk
%HOMEPATH%\Desktop\Internat Exlparor.om
%HOMEPATH%\Desktop\МФ±¦µј№єНш.od
%PROGRAM_FILES%\T0\Desktop.ini
%WINDIR%\Temp\scs6.tmp
%HOMEPATH%\Templates\kksetup.exe
%TEMP%\tmp8.tmp
%WINDIR%\Temp\scs7.tmp
C:\0317.bat
%HOMEPATH%\Templates\mast.exe
%TEMP%\nsd2.tmp\System.dll
%HOMEPATH%\Templates\a.bat
%HOMEPATH%\Templates\win11603.txt
%WINDIR%\Installer\0317.reg
%WINDIR%\Installer\310f0.msi
%HOMEPATH%\Templates031717uoi.txt
%HOMEPATH%\Templates\031717\uoi.txt
%HOMEPATH%\Templates\TempWmicBatchFile.bat
<SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
%TEMP%\tmp9.tmp
<SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
%TEMP%\tmpA.tmp