Trojan.StartPage.35847

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\.\Shell\open\command] '' = '"Rundll32.exe" "home.bmp" Resetrun'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-5a8i9.tmp\<Имя файла>.tmp
%TEMP%\is-m68uu.tmp\_isetup\_regdll.tmp
%TEMP%\is-m68uu.tmp\_isetup\_setup64.tmp
%TEMP%\is-m68uu.tmp\_isetup\_shfoldr.dll
%TEMP%\is-m68uu.tmp\installdll.dll
%ProgramFiles(x86)%\huanbang123\is-3nq25.tmp
%ProgramFiles(x86)%\huanbang123\is-88oog.tmp
%ProgramFiles(x86)%\huanbang123\is-ma87e.tmp
%ProgramFiles(x86)%\huanbang123\unins000.dat
%WINDIR%\srvsys\install.tmp
%WINDIR%\srvsys\2xi.ico
%WINDIR%\srvsys\bibibei.exe
%WINDIR%\srvsys\config.ini
%WINDIR%\srvsys\dangdangwang.ico
%WINDIR%\srvsys\data1
%WINDIR%\srvsys\hao.ico
%WINDIR%\srvsys\home.bmp
%WINDIR%\srvsys\lc.ico
%WINDIR%\srvsys\minigame.ico
%WINDIR%\srvsys\mzsg.ico
%WINDIR%\srvsys\ppn1.ico
%WINDIR%\srvsys\rd.txt
%WINDIR%\srvsys\sanguo.ico
%WINDIR%\srvsys\taobao.ico
%WINDIR%\srvsys\ukingsoft.dcu
%WINDIR%\srvsys\xianjian.ico
%WINDIR%\srvsys\zhuoyue.ico
%WINDIR%\home.bmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\data1
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\bibibei.dll
%TEMP%\nshe89c.tmp\system.dll
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\В±ГЁВ±ГЁГџГўВ№Г№В·ВЅГГёГµВѕ.url
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\bibibei.ico
%ProgramFiles(x86)%\В±ГЁВ±ГЁГџГў\Г°В¶ГґГё.exe
%LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-68a040f7-98c.pma
%LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-68a04116-b80.pma
%LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000001
%LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp
%LOCALAPPDATA%\microsoft\edge\user data\default\manifest-000002
%LOCALAPPDATA%\microsoft\edge\user data\default\000002.dbtmp
%LOCALAPPDATA%\microsoft\edge\user data\default\log
%LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
%LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
%LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
%LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
%LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
%LOCALAPPDATA%\microsoft\edge\user data\default\cookies
%LOCALAPPDATA%\microsoft\edge\user data\default\session storage\manifest-000001
%LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp
%LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\manifest-000001
%LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp
%LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\log
%LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000003.log
%LOCALAPPDATA%\microsoft\edge\user data\default\session storage\log
%LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000003.log
%LOCALAPPDATA%\microsoft\edge\user data\default\cache\index
%LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_0
%LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_2
%LOCALAPPDATA%\microsoft\edge\user data\default\cache\data_3

Перемещает следующие файлы

%ProgramFiles(x86)%\huanbang123\is-3nq25.tmp в %ProgramFiles(x86)%\huanbang123\unins000.exe
%ProgramFiles(x86)%\huanbang123\is-88oog.tmp в %ProgramFiles(x86)%\huanbang123\installdll.dll
%ProgramFiles(x86)%\huanbang123\is-ma87e.tmp в %ProgramFiles(x86)%\huanbang123\install.tmp
%LOCALAPPDATA%\microsoft\edge\user data\default\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\current
%LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\shared_proto_db\metadata\current
%LOCALAPPDATA%\microsoft\edge\user data\default\session storage\000001.dbtmp в %LOCALAPPDATA%\microsoft\edge\user data\default\session storage\current

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\edge\user data\last version
%LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
%LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
%LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
%LOCALAPPDATA%\microsoft\edge\user data\default\web data-journal
%LOCALAPPDATA%\microsoft\edge\user data\default\web data

Подменяет следующие файлы

%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG

Сетевая активность

Подключается к

'12#.#24.9.113':8022

UDP

DNS ASK xi###i189.com
DNS ASK co####.edge.skype.com

Другое

Ищет следующие окна

ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-5a8i9.tmp\<Имя файла>.tmp' /SL5="$C01D2,1225981,53248,<Полный путь к файлу>"
'%WINDIR%\srvsys\bibibei.exe' /S

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\srvsys\ukingsoft.dcu" kinsoft (со скрытым окном)
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --single-argument http://www.xiazai189.com/new/sg002/default.html?from=cj001 (со скрытым окном)
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --flag-switches-begin --flag-switches-end --do-not-de-elevate http://www.xiazai189.com/new/sg002/default.html?from=cj001 (со скрытым окном)