Trojan.StartPage.38696

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\ttctype\shell\open\command\] '' = '%ProgramFiles%\Mozilla Firefox\firefox.exe '
[HKLM\Software\Classes\ttftype\shell\open\command\] '' = '%ProgramFiles%\Opera\launcher.exe '
[HKLM\Software\Classes\type\shell\open\command\] '' = 'rundll32.exe "%ProgramFiles%\guawawa\erp.ee" erp'

Вредоносные функции

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе

Создает следующие файлы

Удаляет следующие файлы

Перемещает следующие файлы

%ProgramFiles(x86)%\guawawa\is-doc87.tmp в %ProgramFiles(x86)%\guawawa\unins000.exe
%ProgramFiles(x86)%\guawawa\is-4lu33.tmp в %ProgramFiles(x86)%\guawawa\bibibei.exe
%ProgramFiles(x86)%\guawawa\is-ijupj.tmp в %ProgramFiles(x86)%\guawawa\config.ini
%ProgramFiles(x86)%\guawawa\is-slfrc.tmp в %ProgramFiles(x86)%\guawawa\cycle.dll
%ProgramFiles(x86)%\guawawa\is-nfgqk.tmp в %ProgramFiles(x86)%\guawawa\dangdangwang.ico
%ProgramFiles(x86)%\guawawa\is-ebo60.tmp в %ProgramFiles(x86)%\guawawa\erp.ee
%ProgramFiles(x86)%\guawawa\is-qihb4.tmp в %ProgramFiles(x86)%\guawawa\gsu.gg
%ProgramFiles(x86)%\guawawa\is-t8t24.tmp в %ProgramFiles(x86)%\guawawa\haohao.err
%ProgramFiles(x86)%\guawawa\is-uvps7.tmp в %ProgramFiles(x86)%\guawawa\mpc.mm
%ProgramFiles(x86)%\guawawa\is-le4da.tmp в %ProgramFiles(x86)%\guawawa\mzsg.ico
%ProgramFiles(x86)%\guawawa\is-nqhc1.tmp в %ProgramFiles(x86)%\guawawa\rgt.rr
%ProgramFiles(x86)%\guawawa\is-k1jjt.tmp в %ProgramFiles(x86)%\guawawa\setup_p47.exe
%ProgramFiles(x86)%\guawawa\is-68e2h.tmp в %ProgramFiles(x86)%\guawawa\taobao.ico
%ProgramFiles(x86)%\guawawa\is-5b6ft.tmp в %ProgramFiles(x86)%\guawawa\uid.uu
%ProgramFiles(x86)%\guawawa\is-h8d7u.tmp в %ProgramFiles(x86)%\guawawa\zhuoyue.ico

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\is-hm9ob.tmp\<Имя файла>.tmp' /SL5="$50246,1413947,53248,<Полный путь к файлу>"

Запускает на исполнение

'%WINDIR%\syswow64\regedit.exe' -s "%ProgramFiles(x86)%\guawawa\haohao.err" (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles(x86)%\guawawa\rgt.rr" rgt (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles%\guawawa\uid.uu" uid (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles%\guawawa\mpc.mm" mpc (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles%\guawawa\gsu.gg" gsu (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles%\guawawa\cycle.dll" openUrl (со скрытым окном)