Trojan.StartPage.25956

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\Г¬ГєГ±В¶qq.lnk

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\Sans] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\Sans] 'ImagePath' = '<SYSTEM32>\wininet.exe'

Создает следующие сервисы

'Sans' <SYSTEM32>\wininet.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsu55dd.tmp\system.dll
%TEMP%\srun55.bat
%APPDATA%\microsoft\internet explorer\quick launch\t123.temp
%TEMP%\srun52.bat
%TEMP%\srun21.bat
%TEMP%\srun92.bat
%TEMP%\srun16.bat
%TEMP%\ie.temp
%TEMP%\srun22.bat
%TEMP%\srun15.bat
%TEMP%\srun42.bat
%TEMP%\srun98.bat
%TEMP%\srun49.bat
%TEMP%\srun20.bat
%TEMP%\srun58.bat
%TEMP%\srun14.bat
%TEMP%\srun48.bat
%TEMP%\srun11.bat
C:\users\public\desktop\t123.temp
%TEMP%\t123.temp
%WINDIR%\syswow64\tlntsvi.exe
%TEMP%\nsu55dd.tmp\simplesc.dll
%WINDIR%\syswow64\wininet.exe
%WINDIR%\syswow64\npp\ndisnpp.nls
%ProgramFiles(x86)%\netmeeting\qq.te
%ProgramFiles(x86)%\netmeeting\qq.ico
%TEMP%\srun39.bat
%TEMP%\srun94.bat
%ProgramFiles(x86)%\netmeeting\game.ico
%APPDATA%\microsoft\internet explorer\quick launch\Г¦ГґВ¶ВЇ internet explorer Г¤ВЇГ Г Г¦Г·.lnk
%APPDATA%\microsoft\windows\start menu\programs\internet explorer.temp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\internet explorer.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\internet explorer.temp
C:\users\public\desktop\internet explorer.temp
%TEMP%\srun4.bat
%TEMP%\info_yx5.exe
%APPDATA%\microsoft\internet explorer\quick launch\Г¦ГґВ¶ВЇ internet explorer Г¤ВЇГ Г Г¦Г·.temp
%TEMP%\srun96.bat

Присваивает атрибут 'скрытый' для следующих файлов

C:\users\public\desktop\internet explorer.lnk

Удаляет следующие файлы

%TEMP%\nsu55dd.tmp\simplesc.dll
%TEMP%\nsu55dd.tmp\system.dll
%APPDATA%\microsoft\internet explorer\quick launch\Г¦ГґВ¶ВЇ internet explorer Г¤ВЇГ Г Г¦Г·.temp
%APPDATA%\microsoft\windows\start menu\programs\internet explorer.temp
C:\users\public\desktop\internet explorer.lnk
%APPDATA%\microsoft\internet explorer\quick launch\t123.temp
%APPDATA%\microsoft\internet explorer\quick launch\Г¦ГґВ¶ВЇ internet explorer Г¤ВЇГ Г Г¦Г·.lnk

Перемещает следующие файлы

%ALLUSERSPROFILE%\microsoft\windows\start menu\internet explorer.temp в %ALLUSERSPROFILE%\microsoft\windows\start menu\internet explorer.lnk
C:\users\public\desktop\internet explorer.temp в C:\users\public\desktop\internet explorer.lnk

Подменяет следующие файлы

C:\users\public\desktop\internet explorer.lnk
C:\users\public\desktop\t123.temp
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
%APPDATA%\microsoft\internet explorer\quick launch\t123.temp
%APPDATA%\microsoft\internet explorer\quick launch\Г¦ГґВ¶ВЇ internet explorer Г¤ВЇГ Г Г¦Г·.lnk
%TEMP%\srun55.bat

Другое

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\info_yx5.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun4.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun58.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun20.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun49.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun98.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun42.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\\╞⌠╢В» Internet Explorer ΣВ»└└╞≈.lnk" /G Everyone:R /C
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun15.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun94.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\\╞⌠╢В» Internet Explorer ΣВ»└└╞≈.lnk" /G Everyone:F /C
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun22.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun16.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\\Launch Internet Explorer Browser.lnk" /G Everyone:R /C
'%WINDIR%\syswow64\cacls.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\\Launch Internet Explorer Browser.lnk" /G Everyone:F /C
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun92.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun21.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Explorer.lnk" /G Everyone:R /C
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun52.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun55.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Explorer.lnk" /G Everyone:F /C
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Y"
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun48.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun14.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun11.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun39.bat" " (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\srun96.bat" " (со скрытым окном)