Trojan.StartPage.50991

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Mstsc' = '%ALLUSERSPROFILE%\Microsoft\mstsc.exe'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'cisvc' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\Windows\cisvc.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Mstsc' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\mstsc.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'IEudInit' = '%WINDIR%\ieudinit.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%WINDIR%\clipsrv.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%APPDATA%\mqtgsvc.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'DCOM' = '%WINDIR%\dllhost.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft RSVP' = '%APPDATA%\rsvp.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\twain002.mtx
%WINDIR%\rcxda2e.tmp
%WINDIR%\dllhost.exe
%APPDATA%\rcxd8d6.tmp
%APPDATA%\mqtgsvc.exe
%WINDIR%\rcxd79d.tmp
%WINDIR%\clipsrv.exe
%APPDATA%\rsvp.exe
%WINDIR%\rcxd616.tmp
%HOMEPATH%\local settings\application data\microsoft\rcxd422.tmp
%HOMEPATH%\local settings\application data\microsoft\mstsc.exe
%HOMEPATH%\local settings\application data\microsoft\windows\rcxd26c.tmp
%HOMEPATH%\local settings\application data\microsoft\windows\cisvc.exe
%ALLUSERSPROFILE%\microsoft\rcxd059.tmp
%ALLUSERSPROFILE%\microsoft\mstsc.exe
%WINDIR%\ieudinit.exe
%APPDATA%\rcxdc61.tmp

Перемещает следующие файлы

%ALLUSERSPROFILE%\microsoft\rcxd059.tmp в %ALLUSERSPROFILE%\microsoft\mstsc.exe
%HOMEPATH%\local settings\application data\microsoft\windows\rcxd26c.tmp в %HOMEPATH%\local settings\application data\microsoft\windows\cisvc.exe
%HOMEPATH%\local settings\application data\microsoft\rcxd422.tmp в %HOMEPATH%\local settings\application data\microsoft\mstsc.exe
%WINDIR%\rcxd616.tmp в %WINDIR%\ieudinit.exe
%WINDIR%\rcxd79d.tmp в %WINDIR%\clipsrv.exe
%APPDATA%\rcxd8d6.tmp в %APPDATA%\mqtgsvc.exe
%WINDIR%\rcxda2e.tmp в %WINDIR%\dllhost.exe
%APPDATA%\rcxdc61.tmp в %APPDATA%\rsvp.exe

Сетевая активность

Подключается к

'ms###csi.com':80

UDP

DNS ASK ly###s-db.org

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /c 90
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /c 67
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /r
'%APPDATA%\rsvp.exe' /c 97
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /c 50
'%WINDIR%\ieudinit.exe' /c 76
'%APPDATA%\rsvp.exe' /c 69
'%WINDIR%\dllhost.exe' /c 4
'%HOMEPATH%\local settings\application data\microsoft\windows\cisvc.exe' /c 95
'%HOMEPATH%\local settings\application data\microsoft\mstsc.exe' /c 16
'%WINDIR%\clipsrv.exe' /c 17
'%WINDIR%\clipsrv.exe' /c 3
'%APPDATA%\mqtgsvc.exe' /c 73
'%WINDIR%\ieudinit.exe' /c 19
'%HOMEPATH%\local settings\application data\microsoft\mstsc.exe' /c 2
'%WINDIR%\dllhost.exe' /c 36
'%HOMEPATH%\local settings\application data\microsoft\windows\cisvc.exe' /c 75
'%APPDATA%\mqtgsvc.exe' /c 60
'%HOMEPATH%\local settings\application data\microsoft\windows\cisvc.exe' /c 95' (со скрытым окном)
'%WINDIR%\ieudinit.exe' /c 76' (со скрытым окном)
'%APPDATA%\mqtgsvc.exe' /c 73' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\mstsc.exe' /c 16' (со скрытым окном)
'%WINDIR%\dllhost.exe' /c 36' (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /c 50' (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /c 67' (со скрытым окном)
'%WINDIR%\clipsrv.exe' /c 17' (со скрытым окном)
'%WINDIR%\clipsrv.exe' /c 3' (со скрытым окном)
'%WINDIR%\dllhost.exe' /c 4' (со скрытым окном)
'%APPDATA%\mqtgsvc.exe' /c 60' (со скрытым окном)
'%WINDIR%\ieudinit.exe' /c 19' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\mstsc.exe' /c 2' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\windows\cisvc.exe' /c 75' (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /c 90' (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\mstsc.exe' /r' (со скрытым окном)
'%APPDATA%\rsvp.exe' /c 69' (со скрытым окном)
'%APPDATA%\rsvp.exe' /c 97' (со скрытым окном)