Trojan.StartPage.51799

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe] 'Debugger' = '%WINDIR%\srchasst\wmpserv.dll'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'hit' = '%WINDIR%\MsDtc\mscorsvw.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '<SYSTEM32>\Ati2evxx.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'okc' = '%WINDIR%\dhcp\GoTop.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Laker' = '%WINDIR%\appmgmt\bplaysvr.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Ati HotKey Poller] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\Ati2evxx.exe

Запускает на исполнение:

<SYSTEM32>\taskkill.exe /IM ftp.exe /F
<SYSTEM32>\taskkill.exe /IM ppap.exe /F
<SYSTEM32>\taskkill.exe /IM p.exe /F
<SYSTEM32>\find.exe /i "Hpqdirv.exe"
<SYSTEM32>\tasklist.exe
<SYSTEM32>\taskkill.exe /IM run.exe /F
<SYSTEM32>\taskkill.exe /IM lo.exe /F
<SYSTEM32>\taskkill.exe /IM smssvc.exe /F
<SYSTEM32>\taskkill.exe /IM nnt.exe /F
<SYSTEM32>\taskkill.exe /IM woai.exe /F
<SYSTEM32>\taskkill.exe /IM osinters.exe /F
<SYSTEM32>\taskkill.exe /IM osinter.exe /F
<SYSTEM32>\ftp.exe -s:<SYSTEM32>\logs\GT.ini
<SYSTEM32>\taskkill.exe /IM gotopbr.exe /F
<SYSTEM32>\taskkill.exe /IM GoTop.exe /F
<SYSTEM32>\ftp.exe -s:<SYSTEM32>\logs\Autodesk.ini
<SYSTEM32>\find.exe /i "5.2"
<SYSTEM32>\ftp.exe -s:<SYSTEM32>\logs\rar.ini
<SYSTEM32>\ftp.exe -s:<SYSTEM32>\logs\weke.ini
<SYSTEM32>\find.exe /i "mscorsvw.exe"
<SYSTEM32>\ftp.exe -s:<SYSTEM32>\logs\ma.ini
<SYSTEM32>\find.exe /i "GoTop.exe"
<SYSTEM32>\ftp.exe -s:<SYSTEM32>\logs\qb.ini
<SYSTEM32>\find.exe /i "bplaysvr.exe"
<SYSTEM32>\taskkill.exe /IM nert.exe /F
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "okc" /f
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "laker" /f
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "estnod32" /f
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "shell" /f
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "hit" /f
<SYSTEM32>\wscript.exe "<SYSTEM32>\prntcp.vbs"
<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 <SYSTEM32>\controll.inf
<SYSTEM32>\regini.exe <SYSTEM32>\Image.ini
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "aoc" /f
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "360safe" /f
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\taskkill.exe /IM mssearch.exe /F
<SYSTEM32>\taskkill.exe /IM explores.exe /F
<SYSTEM32>\taskkill.exe /IM explore.exe /F
<SYSTEM32>\taskkill.exe /IM net2.exe /F
<SYSTEM32>\taskkill.exe /IM net1.exe /F
<SYSTEM32>\taskkill.exe /IM net.exe /F
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "kstnod32" /f
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "gstnod32" /f
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "fstnod32" /f
<SYSTEM32>\taskkill.exe /IM csx.exe /F
<SYSTEM32>\taskkill.exe /IM app.exe /F
<SYSTEM32>\reg.exe delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v "xo" /f