Trojan.StartPage.47852

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\winzix\shell\open\command] '' = '"""%PROGRAM_FILES%\WinZix\winzix.exe"" ""%1"""'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\nsd6.tmp\AskSearchAsst.exe /S
%TEMP%\nsd6.tmp\minime.exe 7b7b0de0759a54a7123
<Текущая директория>\WinZix-2.3.0.0-setup.exe
<Текущая директория>\vd.exe
<Текущая директория>\appsetup.exe
%TEMP%\nsd6.tmp\minime.exe (загружен из сети Интернет)

Запускает на исполнение:

%WINDIR%\explorer.exe

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsd6.tmp\searchaccept
%TEMP%\nsd6.tmp\AskSearchAsst.ini
%TEMP%\nsd6.tmp\AskSearchAsst.exe
%TEMP%\nsg8.tmp\UserInfo.dll
%TEMP%\nsg8.tmp\System.dll
%HOMEPATH%\Start Menu\Programs\WinZix\HomePage.lnk
%PROGRAM_FILES%\WinZix\WinZix.url
%HOMEPATH%\Start Menu\Programs\WinZix\Uninstall.lnk
%TEMP%\nsd6.tmp\startaccept
%HOMEPATH%\Desktop\WinZix.lnk
%TEMP%\nsg8.tmp\time.dll
%TEMP%\nsg8.tmp\md5dll.dll
%TEMP%\nsg8.tmp\KillProcDLL.dll
%PROGRAM_FILES%\WinZix\uninst.exe
%TEMP%\nsd6.tmp\minime.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\get_file[1].php
%HOMEPATH%\Start Menu\Programs\Ask Search Assistant\Uninstall.lnk
%TEMP%\nsg8.tmp\LogEx.dll
%PROGRAM_FILES%\Ask Search Assistant\uninst.exe
%PROGRAM_FILES%\Ask Search Assistant\Install.asa.log
%PROGRAM_FILES%\Ask Search Assistant\AskSearchAsst.ini
%HOMEPATH%\Start Menu\Programs\WinZix\WinZix.lnk
%TEMP%\nsi5.tmp
<Текущая директория>\WinZix-2.3.0.0-setup.exe
%TEMP%\nsd6.tmp\KillProcDLL.dll
%TEMP%\nsd6.tmp\control.dll
%TEMP%\nsd6.tmp\NSISdl.dll
<Текущая директория>\vd.exe
%TEMP%\aut1.tmp
%TEMP%\aut2.tmp
%TEMP%\aut3.tmp
<Текущая директория>\appsetup.exe
%TEMP%\nsd6.tmp\GetVersion.dll
%TEMP%\nsd6.tmp\inetc.dll
%PROGRAM_FILES%\WinZix\icon-uninstall.ico
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\get_file[1].php
%TEMP%\nsd6.tmp\nsisunz.dll
%TEMP%\nsd6.tmp\WinZix files
%TEMP%\nsd6.tmp\modern-wizard.bmp
%TEMP%\nsd6.tmp\modern-header.bmp
%TEMP%\nsd6.tmp\run
%TEMP%\nsd6.tmp\System.dll
%TEMP%\nsd6.tmp\nsDialogs.dll

Удаляет следующие файлы:

%TEMP%\nsd6.tmp\modern-header.bmp
%TEMP%\nsd6.tmp\modern-wizard.bmp
%TEMP%\nsd6.tmp\nsDialogs.dll
%TEMP%\nsd6.tmp\inetc.dll
%TEMP%\nsd6.tmp\KillProcDLL.dll
%TEMP%\nsd6.tmp\minime.exe
%TEMP%\nsd6.tmp\NSISdl.dll
%TEMP%\nsd6.tmp\startaccept
%TEMP%\nsd6.tmp\System.dll
%TEMP%\nsd6.tmp\WinZix.zip
%TEMP%\nsd6.tmp\nsisunz.dll
%TEMP%\nsd6.tmp\run
%TEMP%\nsd6.tmp\searchaccept
%TEMP%\nsg8.tmp\KillProcDLL.dll
%TEMP%\nsg8.tmp\LogEx.dll
%TEMP%\nsg8.tmp\md5dll.dll
%TEMP%\aut1.tmp
%TEMP%\aut2.tmp
%TEMP%\aut3.tmp
%TEMP%\nsg8.tmp\System.dll
%TEMP%\nsd6.tmp\AskSearchAsst.ini
%TEMP%\nsd6.tmp\control.dll
%TEMP%\nsd6.tmp\GetVersion.dll
%TEMP%\nsg8.tmp\time.dll
%TEMP%\nsg8.tmp\UserInfo.dll
%TEMP%\nsd6.tmp\AskSearchAsst.exe

Перемещает следующие файлы:

%TEMP%\nsd6.tmp\WinZix files в %TEMP%\nsd6.tmp\WinZix.zip

Сетевая активность:

Подключается к:

'www.zu##.com':80
'in####l.winzix.com':80

TCP:

Запросы HTTP GET:

www.zu##.com/t/?ac##############################################################################################################################################
www.zu##.com/t/?ac###############################################################################################################################################
in####l.winzix.com/get_file.php?fi#########
in####l.winzix.com/get_file.php?fi###############
www.zu##.com/t/?ac######################################################################################################################################
in####l.winzix.com/get_file.php?fi#####################

UDP: