Trojan.StartPage.47922

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CNRN' = '%PROGRAM_FILES%\CNRN\RNMain.exe %PROGRAM_FILES%\CNRN\CNRN.dll,Rundll32'

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\rundll32.exe %WINDIR%\Downloaded Program Files\patch23.dll,DllUnregisterServer
<SYSTEM32>\rundll32.exe "%WINDIR%\Downloaded program files\patch23.dll",DllRegisterServer

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\CNRN\cnrD.tmp
%TEMP%\CNRC.tmp
%PROGRAM_FILES%\CNRN\RNUp.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\RNUp[1].ini
%PROGRAM_FILES%\CNRN\RNUpAll.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\RNUpAll[1].ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cnrnminex2[1].htm
%PROGRAM_FILES%\CNRN\cnrA.tmp
%PROGRAM_FILES%\CNRN\cnr15.tmp
%PROGRAM_FILES%\CNRN\cnr13.tmp
%TEMP%\CNR17.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\CAAVY3YL.ini
%PROGRAM_FILES%\CNRN\cnr11.tmp
%PROGRAM_FILES%\CNRN\cnrF.tmp
%PROGRAM_FILES%\CNRN\RNUpEx.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\RNUpEx[1].ini
%TEMP%\nsj3.tmp\cnr4.tmp
%TEMP%\nsj3.tmp\RNWmpns.ini
%TEMP%\nsj3.tmp\cnr6.tmp
%TEMP%\nsj3.tmp\RNWmpns.dll
%TEMP%\nsd2.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\RNWmpns[1].ini
%TEMP%\nsj3.tmp\System.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\RNCg[1].ini
%PROGRAM_FILES%\CNRN\RNMain.exe
%PROGRAM_FILES%\CNRN\cnr8.tmp
%PROGRAM_FILES%\CNRN\RNCg.ini
%PROGRAM_FILES%\CNRN\CNRN.dll
%WINDIR%\Downloaded Program Files\patch23.dll
%PROGRAM_FILES%\CNRN\Update\RNMain.exe
%PROGRAM_FILES%\CNRN\cnrn.dat

Удаляет следующие файлы:

Перемещает следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

da##.#ddresscn.com/data/cnrnminex2.htm?pa###################################################################################################################################################################################
do#####d.addresscn.com/download/E24B9E23-58CF-4938-B383-49C6D744D728/RNUp.ini?t=######
do#####d.addresscn.com/download/E24B9E23-58CF-4938-B383-49C6D744D728/RNUpEx.ini?t=######
do#####d.addresscn.com/download/E24B9E23-58CF-4938-B383-49C6D744D728/RNWmpns.ini
do#####d.addresscn.com/download/E24B9E23-58CF-4938-B383-49C6D744D728/RNCg.ini?t=######
do#####d.addresscn.com/download/E24B9E23-58CF-4938-B383-49C6D744D728/RNUpAll.ini?t=######

UDP: