Trojan.StartPage.60222

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\PlugPlay] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.bmp\ShellNew /f
'<SYSTEM32>\powercfg.exe' -h off
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.rar\ShellNew /f
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\Briefcase\ShellNew /f
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.zip\ShellNew /f
'<SYSTEM32>\sc.exe' config Spooler start= DEMAND
'<SYSTEM32>\sc.exe' config iphlpsvc start= DEMAND
'<SYSTEM32>\sc.exe' config SysMain start= DEMAND
'<SYSTEM32>\sc.exe' config WSearch start= DISABLED
'<SYSTEM32>\sc.exe' config WerSvc start= DISABLED
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.xdp\AcroExch.XDPDoc\ShellNew /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\RemovalTools\MRT /v "GUID" /t REG_SZ /d "0DFD22FD-39A9-4AD3-8789-25111F30F895" /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\RemovalTools\MRT /v "Version" /t REG_SZ /d "18C7629E-5F96-4BA8-A2C8-31810A54F5B8" /f
'<SYSTEM32>\schtasks.exe' /delete /TN microsoft-windows-tabletpcinputpanel /F
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
'<SYSTEM32>\cmd.exe' /c "%CommonProgramFiles%\Services\UQiRefresh.bat"
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.rtf\ShellNew /f
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.contact\ShellNew /f
'<SYSTEM32>\reg.exe' delete HKEY_CLASSES_ROOT\.zip\CompressedFolder\ShellNew /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\RemovalTools\MRT /v "EULA2" /t REG_DWORD /d "0x00000001" /f
'%WINDIR%\regedit.exe' /s uqireg.reg
'<SYSTEM32>\sc.exe' config MSDTC start= DISABLED
'<SYSTEM32>\sc.exe' config iphlpsvc start= DISABLED
'<SYSTEM32>\sc.exe' config MSiSCSI start= DISABLED
'<SYSTEM32>\sc.exe' config PolicyAgent start= DISABLED
'<SYSTEM32>\sc.exe' config Netlogon start= DISABLED
'<SYSTEM32>\sc.exe' config AppMgmt start= DISABLED
'<SYSTEM32>\cmd.exe' /c "%CommonProgramFiles%\Services\UQiOPfile.bat"
'<SYSTEM32>\sc.exe' config CertPropSvc start= DISABLED
'<SYSTEM32>\sc.exe' config fdPHost start= DISABLED
'<SYSTEM32>\sc.exe' config DPS start= DISABLED
'<SYSTEM32>\sc.exe' config seclogon start= DISABLED
'<SYSTEM32>\sc.exe' config BITS start= DEMAND
'<SYSTEM32>\sc.exe' config WebClient start= DISABLED
'<SYSTEM32>\sc.exe' config PcaSvc start= DEMAND
'<SYSTEM32>\sc.exe' config PlugPlay start= AUTO
'<SYSTEM32>\sc.exe' config WinDefend start= DISABLED
'<SYSTEM32>\sc.exe' config swprv start= DEMAND
'<SYSTEM32>\sc.exe' config SENS start= DISABLED
'<SYSTEM32>\sc.exe' config TrkWks start= DISABLED
'<SYSTEM32>\sc.exe' config WdiSystemHost start= DISABLED
'<SYSTEM32>\sc.exe' config WdiServiceHost start= DISABLED