Trojan.StartPage.53405

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\shield check.job

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nse8.tmp\ns9.tmp' ipconfig /registerdns
'%TEMP%\Shield\ShieldSetup.exe'
'<LS_APPDATA>\Shield\confirmDlg.exe' /inst
'<LS_APPDATA>\Shield\sp.exe'
'<LS_APPDATA>\Shield\checkhp.exe'
'<LS_APPDATA>\Shield\dns.exe'
'%TEMP%\Shield\ShieldSetup.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\ipconfig.exe' /registerdns
'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\Social Privacy\sp.dll"

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe
firefox.exe
chrome.exe

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\dnsshield\Uninstall.exe
%TEMP%\nsn4.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ShieldSetup-a_s_i-latest[1].exe
<LS_APPDATA>\Shield\uninstall.exe
%TEMP%\Shield\ShieldSetup.exe
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
%PROGRAM_FILES%\Social Privacy\Uninstall.exe
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\searchplugins\all search.xml
%TEMP%\nst6.tmp\System.dll
%TEMP%\nst6.tmp\locate.dll
%HOMEPATH%\Start Menu\Programs\Accessories\Reset Your Browser.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Browser.lnk
%HOMEPATH%\Desktop\Internet Browser.lnk
%HOMEPATH%\Desktop\Youtube.lnk
%TEMP%\nsz2.tmp\InvokeShellVerb.dll
%HOMEPATH%\Desktop\Facebook.lnk
%PROGRAM_FILES%\Social Privacy\r.log
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\postinstall[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\postinstall[1].php
%TEMP%\nsz2.tmp\version.dll
%TEMP%\Shield\channel
%PROGRAM_FILES%\Social Privacy\FF\chrome\content\overlay.xul
<LS_APPDATA>\Shield\sp.exe
<LS_APPDATA>\Shield\reset.exe
<LS_APPDATA>\Shield\yt.ico
%TEMP%\nsn4.tmp\System.dll
%TEMP%\nsz2.tmp\inetc.dll
<LS_APPDATA>\Shield\checkhp.exe
%TEMP%\nsz2.tmp\processes2.dll
<LS_APPDATA>\Shield\confirmDlg.exe
<LS_APPDATA>\Shield\fb.ico
<LS_APPDATA>\Shield\dns.exe
%TEMP%\nsn4.tmp\Processes.dll
%PROGRAM_FILES%\Social Privacy\FF\chrome.manifest
%PROGRAM_FILES%\Social Privacy\sp.dll
%PROGRAM_FILES%\Social Privacy\FF\install.rdf
%PROGRAM_FILES%\Social Privacy\FF\chrome\content\main.js
%PROGRAM_FILES%\Social Privacy\FF\chrome\content\icon.png
%PROGRAM_FILES%\dnsshield\t.txt
%TEMP%\nst6.tmp\Processes.dll
%TEMP%\nse8.tmp\nsExec.dll
%TEMP%\nse8.tmp\ns9.tmp
%PROGRAM_FILES%\Social Privacy\code.zip

Удаляет следующие файлы:

%TEMP%\nsz2.tmp\inetc.dll
%TEMP%\nsn4.tmp\System.dll
%TEMP%\nsn4.tmp\Processes.dll
%TEMP%\nsz2.tmp\version.dll
%TEMP%\nsz2.tmp\processes2.dll
%TEMP%\nsz2.tmp\InvokeShellVerb.dll
%TEMP%\nsn4.tmp\inetc.dll
%TEMP%\nst6.tmp\Processes.dll
%TEMP%\nst6.tmp\locate.dll
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
%TEMP%\nse8.tmp\nsExec.dll
%TEMP%\nse8.tmp\ns9.tmp
%TEMP%\nst6.tmp\System.dll

Сетевая активность:

Подключается к:

'se###h.perk.com':80
'up#####.socialprivacy.org':80
'bu###s.perk.com':80

TCP:

Запросы HTTP GET:

se###h.perk.com/native/postinstall.php?ch################################
up#####.socialprivacy.org/native/postinstall.php?sr###################################
bu###s.perk.com/shield/ShieldSetup-a_s_i-latest.exe

UDP: