Trojan.StartPage.54426

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows' = '%PROGRAM_FILES%\Windows Media Player\comine.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\pipi_ins_346.exe'
'%TEMP%\certsrv\certsrv.exe' -install -hide -run -name "Diagnostic Seruer Host" -title "Diagnostic Seruer Host" -desc "Хп¶П·юОсЦч»ъ±»Хп¶ПІЯВФ·юОсУГАґіРФШРиТЄФЪ±ѕµШ·юОсЙППВОДЦРФЛРРµДХп¶ПЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтТААµУЪёГ·юОсµДИОєОХп¶ПЅ«І»ФЩФЛРРЎЈ" -p1 "1010" -p2 "10002" -p3 "120502" -p4 "wdu" -p5 "" -p6 "" -MD5 "b5d601e910ea1fc0b737722cedd6c6f4"
'%TEMP%\nsx2.tmp\ns5.tmp' "%TEMP%\certsrv\certsrv.exe" -install -hide -run -name "Diagnostic Seruer Host" -title "Diagnostic Seruer Host" -desc "Хп¶П·юОсЦч»ъ±»Хп¶ПІЯВФ·юОсУГАґіРФШРиТЄФЪ±ѕµШ·юОсЙППВОДЦРФЛРРµДХп¶ПЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтТААµУЪёГ·юОсµДИОєОХп¶ПЅ«І»ФЩФЛРРЎЈ" -p1 "1010" -p2 "10002" -p3 "120502" -p4 "wdu" -p5 "" -p6 "" -MD5 "b5d601e910ea1fc0b737722cedd6c6f4"
'%TEMP%\kingsoftkonline\kinstallers_65_87.exe' /s
'%WINDIR%\pipi_setup_346.exe' /verysilent
'%WINDIR%\kinstallers_65_87.exe'
'%TEMP%\nsx2.tmp\ns4.tmp' netsh firewall set allowedprogram "%PROGRAM_FILES%\wdu\120502\log.exe" Diagnostic Seruer Host enable
'%WINDIR%\nvsvc64.exe'
'%PROGRAM_FILES%\Windows Media Player\comine.exe' 0
'C:\360tp.exe'
'%WINDIR%\hujng.exe'
'%WINDIR%\YYdt.exe'
'%TEMP%\nsx2.tmp\ns3.tmp' netsh firewall set allowedprogram "%TEMP%\certsrv\certsrv.exe" Diagnostic Seruer Host enable
'%TEMP%\kingsoftkonline\kinstallers_65_87.exe' (загружен из сети Интернет)
'%WINDIR%\pipi_setup_346.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\netsh.exe' firewall set allowedprogram "%PROGRAM_FILES%\wdu\120502\log.exe" Diagnostic Seruer Host enable
'<SYSTEM32>\netsh.exe' firewall set allowedprogram "%TEMP%\certsrv\certsrv.exe" Diagnostic Seruer Host enable

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\pipi_setup_346.exe
%WINDIR%\kinstallers_65_87.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\pipi_online[1].exe
%TEMP%\nsx2.tmp\ns5.tmp
%WINDIR%\pipi_ins_346.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\pipi_online[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\baidu[1]
<DRIVERS>\676.rar
%WINDIR%\unrar.dll
<DRIVERS>\ЕдЦГ.ini
%TEMP%\kingsoftkonline\kinstallers_65_87.exe.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\dasha[1].htm
<DRIVERS>\676.rar.tmp
%WINDIR%\nvsvc64.exe
%TEMP%\nsx2.tmp\System.dll
%TEMP%\certsrv\certsrv.exe
C:\360tp.exe
%PROGRAM_FILES%\Windows Media Player\comine.exe
%TEMP%\nsx2.tmp\GetVersion.dll
%WINDIR%\YYdt.exe
%WINDIR%\hujng.exe
%TEMP%\nsx2.tmp\ns4.tmp
%TEMP%\nsx2.tmp\nsExec.dll
%TEMP%\nsx2.tmp\ns3.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\s[1]

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\pipi_online[1].exe
%WINDIR%\pipi_setup_346.exe
<DRIVERS>\676.rar.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\pipi_online[1].exe
%TEMP%\~DF712A.tmp
%TEMP%\nsx2.tmp\ns3.tmp
%TEMP%\nsx2.tmp\ns4.tmp

Перемещает следующие файлы:

%TEMP%\kingsoftkonline\kinstallers_65_87.exe.tmp в %TEMP%\kingsoftkonline\kinstallers_65_87.exe

Сетевая активность:

Подключается к:

'bo.###a.net:8080':80
'localhost':1046
'cd###.www.duba.net':80
'ko###aowg.com':80
'ab#.##fdashen.com':80
'12#.#25.114.144':80
'localhost':1035
'dn##p.com':83
'www.cf##h.com':80
'dl.#ipi.cn':80

TCP:

Запросы HTTP GET:

cd###.www.duba.net/duba/install/2011/ever/kavsetups_66_0.exe
12#.#25.114.144/
ko###aowg.com/676.rar
ab#.##fdashen.com/dasha.htm
dl.#ipi.cn/pipi_online.exe
12#.#25.114.144/s?wd#########################
bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#######################################################################################################################
www.cf##h.com/sg.txt

UDP: