Trojan.StartPage.51952

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,%WINDIR%\system\lhp98.exe'

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\attrib.exe +s +h "<SYSTEM32>\lhp98.dll"
<SYSTEM32>\net.exe stop sharedaccess
<SYSTEM32>\cmd.exe /c %WINDIR%\system\618.1604.bat
<SYSTEM32>\attrib.exe +s +h "%WINDIR%\system\lhp98.exe"
<SYSTEM32>\net1.exe stop sharedaccess
<SYSTEM32>\taskkill.exe /f /pid 3204
%WINDIR%\explorer.exe http://www.93#8.cn/?20####
<SYSTEM32>\reg.exe Add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /t "REG_SZ" /d "explorer.exe,%WINDIR%\system\lhp98.exe" /f
<SYSTEM32>\taskkill.exe /f /im rstray.exe
<SYSTEM32>\reg.exe Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
<SYSTEM32>\reg.exe Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
<SYSTEM32>\wscript.exe "%APPDATA%\tb.vbs"
<SYSTEM32>\reg.exe Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DCF49866-8F81-4F5F-8193-7EC75A2AB321}"
<SYSTEM32>\cmd.exe /c %WINDIR%\system\124.0808.bat
<SYSTEM32>\cmd.exe /c <SYSTEM32>\uhykxu.bat
<SYSTEM32>\ping.exe -n 3 127.0.0.1
<SYSTEM32>\ping.exe 127.0.0.1
<SYSTEM32>\cmd.exe /c <SYSTEM32>\wpqzfeg.bat

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Desktop\Internet Explorer.lnk
%WINDIR%\system\618.1604.bat
<SYSTEM32>\uhykxu.bat
%HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
%WINDIR%\system\lhp98.exe
%WINDIR%\system\cpmlist1.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\post[1].asp
%WINDIR%\system\real32.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cpmlist1[1].txt
<SYSTEM32>\wpqzfeg.bat
%APPDATA%\tb1.exe
%APPDATA%\tb2.exe
%APPDATA%\tb.vbs
%APPDATA%\tb3.exe
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
<SYSTEM32>\bhqplst.exe
<SYSTEM32>\lhp98.dll
%WINDIR%\system\124.0808.bat