Trojan.StartPage.47038

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\ttffile\shell\open\command] '' = 'Rundll32.exe "%WINDIR%\wintemp_64\HtaskDll.dll" Resetrun'
[HKLM\Software\Classes\upmc23\Shell\Open\Command] '' = '"%ProgramFiles%\Internet Explorer\IEXPLORE.EXE" "http://www.hao3654.info/hao123.html"'
[HKLM\Software\Classes\upmc123\Shell\Open\Command] '' = '"%WINDIR%\wintemp_64\2xigame.exe" ""'
[HKLM\Software\Classes\upmc223\Shell\Open\Command] '' = '"%ProgramFiles%\Internet Explorer\IEXPLORE.EXE" "http://www.xihao.net/033/taobao.html"'

Вредоносные функции

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-9b4io.tmp\<Имя файла>.tmp
%WINDIR%\wintemp_64\taobao.ico
%WINDIR%\wintemp_64\xianjian.ico
%WINDIR%\wintemp_64\zhuoyue.ico
%WINDIR%\wintemp_64\runset.ttf
%HOMEPATH%\desktop\internet exlporer.upmc
%HOMEPATH%\desktop\Г®Г·ГіГ®.ГЇГ©ВЅВЈ.upmc1
%HOMEPATH%\desktop\Г¬Гґ-В±В¦-Г¬Гё-ГўГґ.upmc2
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\navcancl[1]
%WINDIR%\syswow64\install.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\background_gradient[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\info_48[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\bullet[1]
%LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\bibibei.dll
%TEMP%\nss2f79.tmp\system.dll
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\В±ГЁВ±ГЁГџГўВ№Г№В·ВЅГГёГµВѕ.url
%WINDIR%\wintemp_64\rd.txt
%WINDIR%\wintemp_64\sanguo.ico
%WINDIR%\wintemp_64\ppn1.ico
%WINDIR%\wintemp_64\mzsg.ico
%WINDIR%\wintemp_64\minigame.ico
%TEMP%\is-vhtod.tmp\_isetup\_setup64.tmp
%TEMP%\is-vhtod.tmp\_isetup\_shfoldr.dll
%TEMP%\is-vhtod.tmp\installdll.dll
%ProgramFiles(x86)%\huanbang123\is-17f3n.tmp
%ProgramFiles(x86)%\huanbang123\is-ocbbi.tmp
%ProgramFiles(x86)%\huanbang123\is-uprv2.tmp
%ProgramFiles(x86)%\huanbang123\is-fr7to.tmp
%ProgramFiles(x86)%\huanbang123\unins000.dat
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\bibibei.ico
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\errorpagestrings[1]
%WINDIR%\wintemp_64\install.tmp
%WINDIR%\wintemp_64\2xigame.exe
%WINDIR%\wintemp_64\altersvr.dll
%WINDIR%\wintemp_64\bibibei.exe
%WINDIR%\wintemp_64\config.ini
%WINDIR%\wintemp_64\dangdangwang.ico
%WINDIR%\wintemp_64\hao.ico
%WINDIR%\wintemp_64\htaskdll.dll
%WINDIR%\wintemp_64\lc.ico
%TEMP%\is-vhtod.tmp\_isetup\_regdll.tmp
%WINDIR%\wintemp_64\2xi.ico
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\Г°В¶ГґГё.exe

Удаляет следующие файлы

%ProgramFiles(x86)%\huanbang123\install.tmp
%TEMP%\is-vhtod.tmp\installdll.dll
%TEMP%\is-vhtod.tmp\_isetup\_regdll.tmp
%TEMP%\is-vhtod.tmp\_isetup\_setup64.tmp
%TEMP%\is-vhtod.tmp\_isetup\_shfoldr.dll
%TEMP%\nss2f79.tmp\system.dll
%TEMP%\is-9b4io.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\huanbang123\is-17f3n.tmp в %ProgramFiles(x86)%\huanbang123\unins000.exe
%ProgramFiles(x86)%\huanbang123\is-ocbbi.tmp в %ProgramFiles(x86)%\huanbang123\installdll.dll
%ProgramFiles(x86)%\huanbang123\is-uprv2.tmp в %ProgramFiles(x86)%\huanbang123\install.tmp
%ProgramFiles(x86)%\huanbang123\is-fr7to.tmp в %ProgramFiles(x86)%\huanbang123\info.desc

Сетевая активность

Подключается к

'12#.#24.9.113':8022

UDP

DNS ASK xi###i189.com
DNS ASK w.##i.com

Другое

Ищет следующие окна

ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-9b4io.tmp\<Имя файла>.tmp' /SL5="$50242,1812034,53248,<Полный путь к файлу>"
'%WINDIR%\wintemp_64\2xigame.exe' "http://www.xiazai189.com/new/bf02/default.html?from="
'%WINDIR%\wintemp_64\bibibei.exe' /S

Запускает на исполнение

'%WINDIR%\syswow64\regedit.exe' -s "%ProgramFiles(x86)%\huanbang123\info.desc" (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\wintemp_64\altersvr.dll" Scanprocess (со скрытым окном)