Trojan.StartPage.54508

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'xgs' = '%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\is-UJKD4.tmp\xgssetup1016.tmp' /SL5="$2011C,2041557,115200,%TEMP%\RarSFX0\xgssetup1016.exe" /VERYSILENT /SP-
'%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs.exe'
'%TEMP%\xgssetup1016.exe'
'%TEMP%\RarSFX0\xgssetup1016.exe' /VERYSILENT /SP-

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\xgsquietsetup.bat" "

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжРЎ№ЙЙсV3.0\Р¶ФШ ЧАГжРЎ№ЙЙсV3.0.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжРЎ№ЙЙсV3.0\МмМмІЖё»Нш НшХѕ.url
%ALLUSERSPROFILE%\Desktop\МмМмІЖё»Нш НшХѕ.url
%ALLUSERSPROFILE%\Desktop\ЧАГжРЎ№ЙЙсV3.0.lnk
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\images\is-H834E.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-AA99Q.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжРЎ№ЙЙсV3.0\ЧАГжРЎ№ЙЙсV3.0.lnk
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-BJAVS.tmp
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\ЧАГжРЎ№ЙЙсV3.0.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hh[1].asp
%APPDATA%\xgs\upgrade.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\slideshow[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\login[1].htm
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\OptionSet.ini
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\unins000.dat
%APPDATA%\xgs\OptionSet.ini
%APPDATA%\xgs\stockcode.txt
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-5AJEA.tmp
%TEMP%\is-2Q1GK.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-UJKD4.tmp\xgssetup1016.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-41PPJ.tmp
%TEMP%\is-2Q1GK.tmp\_isetup\_shfoldr.dll
%TEMP%\xgssetup1016.exe
%TEMP%\RarSFX0\xgssetup1016.exe
%TEMP%\RarSFX0\xgsquietsetup.bat
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-3TG8L.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-TOSFH.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-3IKCS.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-V5QOS.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-AUB21.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-VUH8C.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-6QPV8.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-D4VGC.tmp
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-L7FFB.tmp

Удаляет следующие файлы:

%TEMP%\is-2Q1GK.tmp\_isetup\_shfoldr.dll
%TEMP%\is-UJKD4.tmp\xgssetup1016.tmp
%TEMP%\~DF24B.tmp
%TEMP%\RarSFX0\xgsquietsetup.bat
%TEMP%\RarSFX0\xgssetup1016.exe
%TEMP%\is-2Q1GK.tmp\_isetup\_RegDLL.tmp

Перемещает следующие файлы:

%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-V5QOS.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs.exe
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-AUB21.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\upgrade.ini
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-TOSFH.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\stockcode.txt
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-5AJEA.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\ttcf.ico
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-BJAVS.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\ЧАГжРЎ№ЙЙс°ж±ѕРЕПў.txt
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\images\is-H834E.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\images\ico-1.gif
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-AA99Q.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\xgs_blue.manifest
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-6QPV8.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\DSkinControl.dll
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-3TG8L.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\error.html
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-41PPJ.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\unins000.exe
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-VUH8C.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\dskinlite.dll
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-3IKCS.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\OptionSet.ini
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-D4VGC.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\JyUpdater.dll
%PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\is-L7FFB.tmp в %PROGRAM_FILES%\ЧАГжРЎ№ЙЙс\JUpdate.exe