Trojan.StartPage.37782

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\CLSID\{27AEF9E8-063F-0757-829C-A93075890E80}\Shell\Open\Command] '' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\wwwwwww.exe %w%w%w.08%184%19.%c%o%m'

Вредоносные функции:

Создает и запускает на исполнение:

%WINDIR%\RtkSYUdp.exe filldelete ""%APPDATA%\Microsoft\Internet Explorer\Quick Launch\.."" filldelete ""%APPDATA%\Microsoft\Internet Explorer\Quick Launch\.""
%PROGRAM_FILES%\Baidu\Toolbar\BarBroker.exe -RegServer

Запускает на исполнение:

%WINDIR%\regedit.exe /s "%TEMP%\hhhhhhh.tmp"
<SYSTEM32>\cmd.exe /c "%TEMP%\$$rcqi.bat"
<SYSTEM32>\cmd.exe /c "%TEMP%\$$dmsf.bat"
%WINDIR%\regedit.exe /s "%TEMP%\$$RAR110987.tmp"
%WINDIR%\regedit.exe /s "%TEMP%\$rar10987.tmp"
<SYSTEM32>\rundll32.exe "%TEMP%\softpro.dll,Setup1"
<SYSTEM32>\cmd.exe /c "%TEMP%\$$edbs.bat"
<SYSTEM32>\cmd.exe /c "%TEMP%\$$RAVSING.bat"

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\$$rcqi.bat
%TEMP%\wwwwwww.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\屏蔽列表.url
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\帮助指南.url
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\伴侣导航.url
%TEMP%\$$edbs.bat
%TEMP%\hhhhhhh.tmp
%TEMP%\$$RAR110987.tmp
%PROGRAM_FILES%\Baidu\Toolbar\rc.dll
%PROGRAM_FILES%\Baidu\Toolbar\BarBroker.exe
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\广告拦截.url
%TEMP%\version.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\005[1].htm
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\卸载百度工具栏.lnk
%TEMP%\$$dmsf.bat
%TEMP%\pyversion.ini
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\修复功能.url
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\垃圾清理.url
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\隐私保护.url
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\自定义按钮.url
%ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\个性化首页.url
%TEMP%\ljm.exe
%TEMP%\cf.exe
%TEMP%\nsg3.tmp
%CommonProgramFiles%\TaoBao\МФ±¦.ico
%WINDIR%\RtkSYUdp.exe
%TEMP%\softpro.dll
%TEMP%\install.tmp
%TEMP%\SeFastInstall.exe
%TEMP%\Baidu-Toolbar.exe
%TEMP%\sogou_pinyin_mini_5072.exe
%CommonProgramFiles%\TaoBao\РЎУОП·.ico
%CommonProgramFiles%\TaoBao\4399РЎУОП·.tmp
%CommonProgramFiles%\TaoBao\МФ±¦.tmp
%TEMP%\$$RAVSING.bat
%PROGRAM_FILES%\Internet Explorer\SIGNUP\wwwwwww.exe
%PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX.dll
%PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX_Tmp\BaiduBarX.dll
%TEMP%\$rar10987.tmp
%PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX_Tmp\rc.dll
%TEMP%\НшЦ·Ц®јТ.tmp
%PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX_Tmp\BarBroker.exe

Удаляет следующие файлы:

%TEMP%\ljm.exe

Сетевая активность:

Подключается к:

'im#.#ogou.com':80
'pi##.#e.sogou.com':80
'co####.ie.sogou.com':80
'localhost':1034
'www.tt##r.com':80

TCP:

Запросы HTTP GET:

im#.#ogou.com/fastversion.txt
pi##.#e.sogou.com/sepush.gif?h=########################################################
www.tt##r.com/ietj/005.htm?09##
co####.ie.sogou.com/seversion.txt?h=################################

UDP: