Trojan.StartPage.41257

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Classes\Wow6432Node\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell\Open\Command] '' = '%ProgramFiles%\Internet Explorer\SIGNUP\iexplore.exe %1 h%t%t%p%:%/%/%w%w%w.6dudu.%c%...

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles%\win32games\bb.tmp
%WINDIR%\syswow64\helpme.ink
%ProgramFiles%\internet explorer\signup\iexplore.exe
C:\users\public\desktop\google chrome.ink
C:\users\public\desktop\mozilla firefox.ink
%HOMEPATH%\desktop\intenet exploer.ink
%HOMEPATH%\favorites\ВіВЈГіГЈ\ВµВ±ВµВ±ГГё.url
%HOMEPATH%\favorites\ВµВ±ВµВ±ГГё.url
%HOMEPATH%\favorites\ВіВЈГіГЈ\Г—ВїГґВЅГГё.url
%HOMEPATH%\favorites\Г—ВїГґВЅГГё.url
%HOMEPATH%\favorites\ВіВЈГіГЈ\Г¬ГґВ±В¦ГГёВЅГ±ГЁГµГ¬ГёВјГ»Г§Гё.url
%HOMEPATH%\favorites\Г¬ГґВ±В¦ГГёВЅГ±ГЁГµГ¬ГёВјГ»Г§Гё.url
%HOMEPATH%\favorites\ВіВЈГіГЈ\Г®Г·ГіГ®ГГё.url
%HOMEPATH%\favorites\Г®Г·ГіГ®ГГё.url
%APPDATA%\microsoft\windows\start menu\Г¬ГґВ±В¦ГГёВЅГ±ГЁГµГ¬ГёВјГ»Г§Гё.ink
%APPDATA%\microsoft\windows\start menu\intenet exploer.ink
%APPDATA%\microsoft\windows\start menu\ВіГ¬Г°ГІ\intenet exploer.ink
%HOMEPATH%\favorites\ВіВЈГіГЈ\Г®Г·ГіГ®ВЎВ¤ГЇГ©ВЅВЈ.url
%HOMEPATH%\favorites\Г®Г·ГіГ®ВЎВ¤ГЇГ©ВЅВЈ.url
%HOMEPATH%\desktop\Г®Г·ГіГ®ВЎВ¤ГЇГ©ВЅВЈ.ink
%HOMEPATH%\desktop\Г¬ГґВ±В¦ГГёВЅГ±ГЁГµГ¬ГёВјГ»Г§Гё.ink
%HOMEPATH%\favorites\ВіВЈГіГЈ\ГіГ®ГЇВ·ВґГіГЁВ«.url
%WINDIR%\syswow64\helpme.vbs
%HOMEPATH%\favorites\ГіГ®ГЇВ·ВґГіГЁВ«.url
%WINDIR%\syswow64\sysurl.dll
%ProgramFiles%\win32games\aaa.bat
%ProgramFiles%\win32games\2xi.ico
%ProgramFiles%\win32games\2xi.vbs
%ProgramFiles%\win32games\baidu.ico
%ProgramFiles%\win32games\bingfeng.ico
%ProgramFiles%\win32games\bookmarks.dat
%ProgramFiles%\win32games\config.ini
%ProgramFiles%\win32games\dangdangwang.ico
%ProgramFiles%\win32games\internet.vbs
%ProgramFiles%\win32games\jiuzhou.ico
%ProgramFiles%\win32games\minigame.ico
%ProgramFiles%\win32games\minigame.vbs
%ProgramFiles%\win32games\syspowerues.dll
%ProgramFiles%\win32games\taobao.ico
%ProgramFiles%\win32games\taobao.vbs
%ProgramFiles%\win32games\thumbs.db
%ProgramFiles%\win32games\untitled - 2.ico
%ProgramFiles%\win32games\url.dll
%ProgramFiles%\win32games\url.txt
%ProgramFiles%\win32games\wingames.exe
%ProgramFiles%\win32games\xianjian.ico
%ProgramFiles%\win32games\zhuoyue.ico
%ProgramFiles%\win32games\doset.bat
%HOMEPATH%\desktop\ГіГ®ГЇВ·ВґГіГЁВ«.ink

Удаляет следующие файлы

%ProgramFiles%\win32games\bb.tmp
%ProgramFiles%\win32games\url.txt
%HOMEPATH%\desktop\intenet exploer.ink

Перемещает следующие файлы

%ProgramFiles%\win32games\syspowerues.dll в %WINDIR%\syswow64\syspowerues.dll

Изменяет следующие файлы

Подменяет следующие файлы

%ProgramFiles%\win32games\url.txt
%HOMEPATH%\desktop\intenet exploer.ink

Сетевая активность

Подключается к

'w.##i.com':80

TCP

Запросы HTTP GET

http://w.##i.com/json/NewGameList.xml

UDP

DNS ASK so#.5k5.net
DNS ASK re#.##iguan8.com
DNS ASK w.##i.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles%\win32games\wingames.exe' "http://re#.##iguan8.com/rjtxj"
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles%\Win32Games\aaa.bat" "' (со скрытым окном)
'%ProgramFiles%\win32games\wingames.exe' "http://re#.##iguan8.com/rjtxj"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles%\Win32Games\doset.bat" "' (со скрытым окном)

Запускает на исполнение