Trojan.StartPage.51913

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\sogo.exe
<SYSTEM32>\ht.exe
<SYSTEM32>\hotok.exe
<SYSTEM32>\haodx.exe

Запускает на исполнение:

<SYSTEM32>\runonce.exe -r
<SYSTEM32>\attrib.exe "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╬╥┐с═°┬ч╡ч╩╙.lnk" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╠╘▒ж╣║╬я.lnk" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\├т╖╤╡ч╙░.lnk" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╨б╙╬╧╖.lnk" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\╫└├ц\Internet Expleror.lnk" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\═°╓╖╓о╝╥.lnk" +R +S
<SYSTEM32>\grpconv.exe -o
%WINDIR%\regedit.exe /s hs.reg
<SYSTEM32>\rundll32.exe SETUPAPI.DLL,InstallHinfSection DefaultInstall 128 C:\TmpInf.inf
<SYSTEM32>\attrib.exe "%HOMEPATH%\╫└├ц\╠╘▒ж╣║╬я.lnk" +R +S
<SYSTEM32>\attrib.exe "%HOMEPATH%\╫└├ц\├т╖╤╡ч╙░.lnk" +R +S
<SYSTEM32>\wscript.exe "<SYSTEM32>\sysok.vbs"
<SYSTEM32>\wscript.exe "<SYSTEM32>\hos.vbs"
<SYSTEM32>\attrib.exe "%HOMEPATH%\╫└├ц\╨б╙╬╧╖.lnk" +R +S
<SYSTEM32>\reg.exe Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
<SYSTEM32>\attrib.exe "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\*.lnk" +R +S
<SYSTEM32>\reg.exe Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
<SYSTEM32>\attrib.exe "%HOMEPATH%\╫└├ц\╬╥┐с═°┬ч╡ч╩╙.lnk" +R +S

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\sogo.exe
<SYSTEM32>\repair3.html
<SYSTEM32>\ss.reg
<SYSTEM32>\taobao.url
<SYSTEM32>\sysok.vbs
<SYSTEM32>\Internet Exporer.lnk
<SYSTEM32>\Internet Expoorer.url
<SYSTEM32>\Internet Exporer.url
<SYSTEM32>\qq.ico
<SYSTEM32>\mm.ico
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╞Ї╢п Internet Explorrer фп└└╞ў.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vod.7802[1]
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╬╥┐с═°┬ч╡ч╩╙.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\index1[1].html
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╨б╙╬╧╖.lnk
%TEMP%\~1.bat
<SYSTEM32>\taobao.ico
%HOMEPATH%\Favorites\╨б╙╬╧╖.lnk
C:\TmpInf.inf
%TEMP%\~2.bat
<SYSTEM32>\zq.ico
<SYSTEM32>\zq.lnk
<SYSTEM32>\免费电影.lnk
<SYSTEM32>\腾讯QQ.lnk
<SYSTEM32>\淘宝购物.lnk
<SYSTEM32>\vod.html
<SYSTEM32>\FilmTVkk.ico
<SYSTEM32>\youxi.html
<SYSTEM32>\yx.ico
<SYSTEM32>\yx.lnk
<SYSTEM32>\hotok.exe
<SYSTEM32>\hos.vbs
<SYSTEM32>\hs.reg
<SYSTEM32>\Internet ExpIorer.lnk
<SYSTEM32>\ht.exe
<SYSTEM32>\good.exe
<SYSTEM32>\FilmTVkk.lnk
<SYSTEM32>\hao.exe
<SYSTEM32>\haodx.exe
<SYSTEM32>\hao.vbs

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╨б╙╬╧╖.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╬╥┐с═°┬ч╡ч╩╙.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╞Ї╢п Internet Explorrer фп└└╞ў.lnk
%TEMP%\~1.bat
%TEMP%\~2.bat

Удаляет следующие файлы: