Trojan.StartPage.40707

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Classes\Wow6432Node\CLSID\{37AEF9E8-163F-0757-839C-A93875898E81}\Shell\Open\Command] '' = 'IEXPLORE.EXE %w%w%w.92%157%13.%c%o%m'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\baidu-toolbar.exe
%TEMP%\ljm.exe
%TEMP%\sefastinstall.exe
%TEMP%\sogou_pinyin_mini_5072.exe
%TEMP%\nsz60f4.tmp
%ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\baidubarx.dll
%ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\rc.dll
%ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\barbroker.exe
%WINDIR%\rkrealtech.exe
%WINDIR%\rtksyudp.exe
%CommonProgramFiles(x86)%\taobao\Г¬ГґВ±В¦.ico
%TEMP%\$rar10987.tmp
%TEMP%\$rar10943.tmp
%ProgramFiles(x86)%\baidu\toolbar\baidubarx.dll
%ProgramFiles(x86)%\baidu\toolbar\barbroker.exe
%ProgramFiles(x86)%\baidu\toolbar\rc.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\屏蔽列表.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\伴侣导航.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\帮助指南.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\广告拦截.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\垃圾清理.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\修复功能.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\隐私保护.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\个性化首页.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\自定义按钮.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\百度工具栏\卸载百度工具栏.lnk
%TEMP%\ГГёГ¶В·Г¶В®ВјГІ.tmp
%CommonProgramFiles(x86)%\taobao\Г¬ГґВ±В¦.tmp
%TEMP%\$$ravsing.bat
%TEMP%\yynyjgm.tmp
%TEMP%\google chrome.tmp
%LOCALAPPDATA%\google\chrome\Application\chrome x64.exe
%TEMP%\$$edbs.bat
%TEMP%\iexplore.tmp
%TEMP%\$$rcqi.bat
%TEMP%\$$dmsf.bat

Удаляет следующие файлы

%TEMP%\ljm.exe
%TEMP%\yynyjgm.tmp
%TEMP%\$rar10987.tmp
%WINDIR%\rkrealtech.exe
%WINDIR%\rtksyudp.exe
%TEMP%\$rar10943.tmp

Перемещает следующие файлы

%TEMP%\google chrome.tmp в %HOMEPATH%\desktop\google chrome.1nk
%TEMP%\iexplore.tmp в %APPDATA%\microsoft\internet explorer\quick launch\nncnyvb.1nk

Изменяет следующие файлы

%HOMEPATH%\desktop\google chrome.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\desktop.ini
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\google chrome.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\launch internet explorer browser.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\shows desktop.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\window switcher.lnk

Сетевая активность

UDP

DNS ASK tt##r.com
DNS ASK co####.ie.sogou.com
DNS ASK pi##.#e.sogou.com

Другое

Ищет следующие окна

ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\ljm.exe'
'%TEMP%\baidu-toolbar.exe'
'%TEMP%\sefastinstall.exe'
'%ProgramFiles(x86)%\baidu\toolbar\barbroker.exe' -RegServer
'%WINDIR%\rtksyudp.exe' filldelete "%HOMEPATH%\Desktop\GOOGLE~1.LNK"
'%WINDIR%\rtksyudp.exe' filldelete "%APPDATA%\MICROS~1\INTERN~1\QUICKL~1\."
'%WINDIR%\rtksyudp.exe' filldelete "%APPDATA%\MICROS~1\INTERN~1\QUICKL~1\.."
'%WINDIR%\rtksyudp.exe' filldelete "%APPDATA%\MICROS~1\INTERN~1\QUICKL~1\desktop.ini"

Запускает на исполнение

'%WINDIR%\syswow64\regedit.exe' /s %TEMP%\$rar10987.tmp (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\$$RAVSING.bat (со скрытым окном)
'%WINDIR%\syswow64\regedit.exe' /s %TEMP%\yynyjgm.tmp (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\$$edbs.bat (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\$$rcqi.bat (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\$$dmsf.bat (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU /f