Trojan.StartPage.52496

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\exefile\shell\open\command] '' = '"%1" %*'
[<HKLM>\SOFTWARE\Classes\.exe] '' = 'exefile'
[<HKLM>\SOFTWARE\Classes\.exe] 'Content Type' = 'application/x-msdownload'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'system' = ''

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Запускает на исполнение:

<SYSTEM32>\attrib.exe I:\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe H:\autorun.inf -s -h -r
<SYSTEM32>\reg.exe Delete HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /f
<SYSTEM32>\attrib.exe I:\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe H:\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe F:\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe F:\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe G:\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe G:\mgy.exe -s -h -r
<SYSTEM32>\gpupdate.exe
<SYSTEM32>\reg.exe import exerepair.reg
%WINDIR%\explorer.exe
<SYSTEM32>\taskkill.exe /f /im explorer.exe
<SYSTEM32>\reg.exe import repair.reg
<SYSTEM32>\reg.exe Delete HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NofolderOptions /f
<SYSTEM32>\reg.exe Delete HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /f
<SYSTEM32>\reg.exe delete hklm\software\microsoft\windows\currentversion\Run /v msmsgs /f
<SYSTEM32>\reg.exe delete hklm\software\microsoft\windows\currentversion\Run /v mgy /f
<SYSTEM32>\attrib.exe <SYSTEM32>\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\{271287-000021-100287-705016} -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\autorun.inf.vir.txt -s -h -r
<SYSTEM32>\attrib.exe %WINDIR%\mgy.exe -s -h -r
<SYSTEM32>\taskkill.exe /F /IM lsass.exe /IM smss.exe /IM mgy.exe /IM csrss.exe /IM icserv.exe -t
<SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\MgyVirusCleaner.bat" "
<SYSTEM32>\attrib.exe C:\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe C:\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe <Имя диска съемного носителя>:\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe <Имя диска съемного носителя>:\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe E:\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe E:\mgy.exe -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\{271287-000021-100287-705016}\icserv.exe -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\{271287-000021-100287-705016}\csrss.exe -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\{271287-000021-100287-705016}\autorun.inf -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\{271287-000021-100287-705016}\smss.exe -s -h -r
<SYSTEM32>\attrib.exe <SYSTEM32>\{271287-000021-100287-705016}\lsass.exe -s -h -r

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\alg.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\spoolsv.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = '00000000'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы: