Trojan.StartPage.54129

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'xgs' = '%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\is-ABMS6.tmp\xgssetup1016.tmp' /SL5="$2011A,2041557,115200,%TEMP%\RarSFX0\xgssetup1016.exe" /VERYSILENT /SP-
'%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs.exe'
'%TEMP%\xgssetup1016.exe'
'%TEMP%\RarSFX0\xgssetup1016.exe' /VERYSILENT /SP-

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\xgsquietsetup.bat" "

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжРЎ№ЙЙсV3.0\МмМмІЖё»Нш НшХѕ.url
%ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжРЎ№ЙЙсV3.0\ЧАГжРЎ№ЙЙсV3.0.lnk
%ALLUSERSPROFILE%\Desktop\ЧАГжРЎ№ЙЙсV3.0.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжРЎ№ЙЙсV3.0\Р¶ФШ ЧАГжРЎ№ЙЙсV3.0.lnk
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-RIKPN.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-GQJ67.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-M7OMP.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\images\is-BKCEH.tmp
%ALLUSERSPROFILE%\Desktop\МмМмІЖё»Нш НшХѕ.url
%APPDATA%\xgs\upgrade.ini
%APPDATA%\xgs\OptionSet.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\slideshow[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hh[1].asp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\unins000.dat
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\ЧАГжРЎ№ЙЙсV3.0.lnk
%APPDATA%\xgs\stockcode.txt
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\OptionSet.ini
%TEMP%\is-J5GUJ.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-ABMS6.tmp\xgssetup1016.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-SPGHU.tmp
%TEMP%\is-J5GUJ.tmp\_isetup\_shfoldr.dll
%TEMP%\xgssetup1016.exe
%TEMP%\RarSFX0\xgssetup1016.exe
%TEMP%\RarSFX0\xgsquietsetup.bat
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-6E1UU.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-UTMC5.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-JQS5M.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-1P8TV.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-RGRJO.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-5BM6C.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-PS1T4.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-9N278.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-T4AFQ.tmp

Удаляет следующие файлы:

%TEMP%\RarSFX0\xgssetup1016.exe
%TEMP%\is-ABMS6.tmp\xgssetup1016.tmp
%TEMP%\~DF70D.tmp
%TEMP%\is-J5GUJ.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-J5GUJ.tmp\_isetup\_shfoldr.dll
%TEMP%\RarSFX0\xgsquietsetup.bat

Перемещает следующие файлы:

%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-1P8TV.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs.exe
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-RGRJO.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\upgrade.ini
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-UTMC5.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\stockcode.txt
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-GQJ67.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\ttcf.ico
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-M7OMP.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\ЧАГжРЎ№ЙЙс°ж±ѕРЕПў.txt
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\images\is-BKCEH.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\images\ico-1.gif
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-RIKPN.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs_blue.manifest
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-PS1T4.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\DSkinControl.dll
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-6E1UU.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\error.html
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-SPGHU.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\unins000.exe
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-5BM6C.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\dskinlite.dll
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-JQS5M.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\OptionSet.ini
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-9N278.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\JyUpdater.dll
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-T4AFQ.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\JUpdate.exe