Trojan.StartPage.53041

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\uic\Shell\Open\Command] '' = '"Rundll32.exe" "%WINDIR%\vistaw7\infofile.icl" Resetrun'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-6vta4.tmp\<Имя файла>.tmp
%TEMP%\etilqs_mhcst5xmgbsg1sl
%TEMP%\etilqs_6bsmug26gdziyij
%TEMP%\etilqs_x4asvnwwn189j9l
%TEMP%\etilqs_fkwnnbentvkasat
%TEMP%\etilqs_khhfzpvukzvvqht
%TEMP%\etilqs_oeyvwh9ppfb9q17
%WINDIR%\condu.lnk
%WINDIR%\vistaw7\tuangou.ico
%WINDIR%\vistaw7\taobao.ico
%WINDIR%\vistaw7\rd.txt
%WINDIR%\vistaw7\infofile.tmp
%TEMP%\etilqs_22wx0krrrwpma7z
%WINDIR%\vistaw7\honst.uic
%WINDIR%\vistaw7\config.1ni
%WINDIR%\vistaw7\comrundu.ducc
%WINDIR%\vistaw7\install.tmp
%ProgramFiles(x86)%\prgenerate\unins000.dat
%ProgramFiles(x86)%\prgenerate\is-t6ljn.tmp
%ProgramFiles(x86)%\prgenerate\is-dm0i7.tmp
%ProgramFiles(x86)%\prgenerate\is-ts05i.tmp
%TEMP%\is-kmh5m.tmp\installdll.dll
%TEMP%\is-kmh5m.tmp\_isetup\_shfoldr.dll
%TEMP%\is-kmh5m.tmp\_isetup\_setup64.tmp
%TEMP%\is-kmh5m.tmp\_isetup\_regdll.tmp
%WINDIR%\vistaw7\config.ini
%TEMP%\etilqs_0exqkizf63vps9c

Удаляет следующие файлы

%TEMP%\is-kmh5m.tmp\installdll.dll
%TEMP%\is-kmh5m.tmp\_isetup\_regdll.tmp
%TEMP%\is-kmh5m.tmp\_isetup\_setup64.tmp
%TEMP%\is-kmh5m.tmp\_isetup\_shfoldr.dll
%TEMP%\is-6vta4.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\prgenerate\is-ts05i.tmp в %ProgramFiles(x86)%\prgenerate\unins000.exe
%ProgramFiles(x86)%\prgenerate\is-dm0i7.tmp в %ProgramFiles(x86)%\prgenerate\installdll.dll
%ProgramFiles(x86)%\prgenerate\is-t6ljn.tmp в %ProgramFiles(x86)%\prgenerate\install.tmp

Сетевая активность

Подключается к

'07##3.com':80
'au######te.geo.opera.com':80
'au######te.geo.opera.com':443
'google.com':80
'se####.yahoo.com':80
'du###uckgo.com':443
'am##on.com':80
'bing.com':80
'en.###ipedia.org':80
'am##on.com':443
'se####.yahoo.com':443
'en.###ipedia.org':443

TCP

Запросы HTTP GET

http://www.07##3.com/ppsr/Downsoft/you11Funshion.exe
http://au######te.geo.opera.com/geolocation/
http://www.google.com/favicon.ico
http://se####.yahoo.com/favicon.ico
http://www.am##on.com/favicon.ico
http://www.bing.com/s/a/bing_p.ico
http://en.###ipedia.org/favicon.ico

Другие

'au######te.geo.opera.com':443
'du###uckgo.com':443
'am##on.com':443
'se####.yahoo.com':443
'en.###ipedia.org':443

UDP

DNS ASK lz##wl.com
DNS ASK 07##3.com
DNS ASK google.com
DNS ASK au######te.geo.opera.com
DNS ASK se####.yahoo.com
DNS ASK du###uckgo.com
DNS ASK am##on.com
DNS ASK bing.com
DNS ASK bi##.#ikimedia.org
DNS ASK en.###ipedia.org

Другое

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''
ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'

Создает и запускает на исполнение

'%TEMP%\is-6vta4.tmp\<Имя файла>.tmp' /SL5="$5024C,1236736,53248,<Полный путь к файлу>"

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\vistaw7\comrundu.ducc" frmwind (со скрытым окном)
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.11.14625184\855300052" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.10.157608797\1469804764" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.9.1070042474\1328663396" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.8.1211541764\343840119" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.7.1385889019\566382765" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.6.957631438\427053723" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="1964.4.781120444\62467266" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=680
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.12.1228815720\823478560" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.5.362207584\1126295416" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="1964.0.1478973844\818748952" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.lzchwl.com/ /crash-reporter-parent-id=1964
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://www.lzchwl.com/
'%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://www.lzchwl.com/"
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\vistaw7\Config.1ni" ufock (со скрытым окном)
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.4.781120444\62467266" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
'%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1964.15.382146335\139723048" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001