Trojan.StartPage.31889

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Classes\Wow6432Node\CLSID\{1f4de370-d627-11d1-ba4f-00a0c91eedba}\Shell\Open\Command] '' = '%ProgramFiles%\Internet Explorer\SIGNUP\iexplore.exe http://www.360000000000.net/wg.htm...

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\tree_view.htm

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-pum53.tmp\<Имя файла>.tmp
%WINDIR%\install\ppn1.ico
%WINDIR%\install\rbackup.pdf
%WINDIR%\install\rd.txt
%WINDIR%\install\sanguo.ico
%WINDIR%\install\setup.exe
%WINDIR%\install\taobao.ico
%WINDIR%\install\thumbs.db
%WINDIR%\install\url.txt
%WINDIR%\install\xianjian.ico
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\bullet[1]
%WINDIR%\install\zhuoyue.ico
%WINDIR%\syswow64\ject.vbs
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\navcancl[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\background_gradient[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\info_48[1]
%WINDIR%\install\minigame.ico
%WINDIR%\install\winsystem.tmp
%WINDIR%\install\ject.vbs
%ProgramFiles(x86)%\installgame\unins000.dat
%TEMP%\is-dkuk2.tmp\_isetup\_setup64.tmp
%TEMP%\is-dkuk2.tmp\_isetup\_shfoldr.dll
%TEMP%\is-dkuk2.tmp\installer.dll
%TEMP%\is-dkuk2.tmp\decpress.dll
%ProgramFiles(x86)%\installgame\is-trcdp.tmp
%ProgramFiles(x86)%\installgame\is-avisl.tmp
%ProgramFiles(x86)%\installgame\is-cv2e9.tmp
%ProgramFiles(x86)%\installgame\is-304al.tmp
C:\users\public\desktop\firefox.ink
%WINDIR%\install\dangdangwang.ico
%ProgramFiles%\internet explorer\signup\iexplore.exe
%WINDIR%\install\install.tmp
%WINDIR%\syswow64\install.tmp
%WINDIR%\install\2xi.ico
%WINDIR%\install\batink.bat
%WINDIR%\install\bookmarks.dat
%WINDIR%\install\bootinstall.gif
%WINDIR%\install\config.ini
%WINDIR%\install\ie6.ico
%LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat

Удаляет следующие файлы

%ProgramFiles(x86)%\installgame\install.tmp
%TEMP%\is-dkuk2.tmp\decpress.dll
%TEMP%\is-dkuk2.tmp\installer.dll
%TEMP%\is-dkuk2.tmp\_isetup\_setup64.tmp
%TEMP%\is-dkuk2.tmp\_isetup\_shfoldr.dll
%TEMP%\is-pum53.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\installgame\is-trcdp.tmp в %ProgramFiles(x86)%\installgame\unins000.exe
%ProgramFiles(x86)%\installgame\is-avisl.tmp в %ProgramFiles(x86)%\installgame\decpress.dll
%ProgramFiles(x86)%\installgame\is-cv2e9.tmp в %ProgramFiles(x86)%\installgame\install.tmp
%ProgramFiles(x86)%\installgame\is-304al.tmp в %ProgramFiles(x86)%\installgame\installer.dll

Сетевая активность

Подключается к

'12#.#24.9.113':8022

UDP

DNS ASK xi###i189.com
DNS ASK w.##i.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-pum53.tmp\<Имя файла>.tmp' /SL5="$40252,1350851,141824,<Полный путь к файлу>"
'%WINDIR%\install\setup.exe' "http://www.xiazai189.com/new/bf02/default.html?from=ywg0035"

Запускает на исполнение