Trojan.StartPage.38554

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'IEProtector' = '%PROGRAM_FILES%\IEProtector\ieprotector.exe hide,start'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\.lnk

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\IEProtector] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\Internet Explorer\QQ.exe
%PROGRAM_FILES%\IEProtector\IEProtector.exe hide,init
%PROGRAM_FILES%\Microsoft Office\setup_10035.exe
%PROGRAM_FILES%\Microsoft Office\FonTan.exe
%PROGRAM_FILES%\Microsoft Office\X5.exe

Запускает на исполнение:

%WINDIR%\regedit.exe /s ffr.reg
<SYSTEM32>\reg.exe add "hkcu\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d http://www.17##5.info/?qd /f
<SYSTEM32>\cmd.exe /c ""%PROGRAM_FILES%\Microsoft Office\IES.bat" "

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

C:\ha.txt
%TEMP%\nsz5.tmp\SimpleSC.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\H_1[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\H_3[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\H_2[1].asp
%TEMP%\nsz5.tmp\System.dll
%HOMEPATH%\Start Menu\IEКШ»¤ХЯ.lnk
%PROGRAM_FILES%\IEProtector\uninstall.dat
%HOMEPATH%\Desktop\МФ±¦ПЮК±ГлЙ±.lnk
%HOMEPATH%\Start Menu\Programs\IEProtector\IEКШ»¤ХЯ.lnk
%HOMEPATH%\Start Menu\Programs\IEProtector\Р¶ФШIEКШ»¤ХЯ.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_6[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_5[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_1[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\583[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_2[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_4[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\INI_H[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\F5_1[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\x5_help[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_3[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\F5_2[1].asp
%PROGRAM_FILES%\IEProtector\uninst.exe
%PROGRAM_FILES%\Microsoft Office\МФ±¦Нш - МФЈЎОТПІ»¶.url
%PROGRAM_FILES%\Microsoft Office\IES.bat
%PROGRAM_FILES%\Microsoft Office\setup_10035.exe
%PROGRAM_FILES%\Microsoft Office\Uninstall.exe
%PROGRAM_FILES%\Microsoft Office\FonTan.exe
%PROGRAM_FILES%\Microsoft Office\X5.exe
%TEMP%\$inst\4.tmp
%TEMP%\$inst\2.tmp
%TEMP%\$inst\5.tmp
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\15.tmp
%PROGRAM_FILES%\IEProtector\IEProtector.exe
%PROGRAM_FILES%\IEProtector\App.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\123[1]
%PROGRAM_FILES%\IEProtector\TaoBao.exe
%PROGRAM_FILES%\IEProtector\IEService.exe
%TEMP%\nsl3.tmp\System.dll
%PROGRAM_FILES%\Microsoft Office\Uninstall.ini
%HOMEPATH%\Favorites\МФ±¦Нш - МФЈЎОТПІ»¶.lnk
%PROGRAM_FILES%\Internet Explorer\QQ.exe
%TEMP%\null\Setup_10000.exe
%PROGRAM_FILES%\Internet Explorer\MSINET.OCX

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\F5_2[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_3[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\INI_H[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\H_3[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\F5_1[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_1[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_2[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_6[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_4[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\F5_5[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\H_2[1].asp
%TEMP%\$inst\5.tmp
%TEMP%\$inst\15.tmp
%TEMP%\$inst\4.tmp
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp
%TEMP%\nsl3.tmp\System.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\H_1[1].asp
%TEMP%\null\setup_10035.exe
%TEMP%\nsz5.tmp\SimpleSC.dll
%TEMP%\nsz5.tmp\System.dll